Açıq hacker serveri miqyaslı hədiyyə kartı saxtakarlığını və əlavə skemləri ifşa edir

Açıq server miqyaslı hədiyyə kartı saxtakarlığını təsdiqləyir

Cybernews araşdırmacıları 2026-cı ilin iyul sonunda açıq qalan risk aktorunun serverini aşkar etdi; orada ilkin kod, hücum qeydləri, verilənlər bazaları və miqyaslı hədiyyə kartı saxtakarlıq əməliyyatının nəticələri saxlanılırdı. Komandanın hesabına görə, bu proqram ən azı 2026-cı ilin martından fəaliyyət göstərirdi.

Hücumçu P2P ticarət platformalarına yüklənmiş hədiyyə kartlarının sınaqdan keçirilməsinə diqqət vərirdi və dəyərli kart məlumatlarını adi tranzaksiya başa çatqanə qədar ələ keçirirdi. Hədiyyə kartları raqəmi nağd pul kimi işlədiyi üçün gəlirli hədəfdir: onların istifadəsi sürətlidir, yenidən satış asandır, oğurluqdan sonra bərpa çətindir.

Əməliyyat necə işləyirdi

Risk aktörleri yüzlərlə onlayn platformanı araşdırdı. Server sahibləri 58 hədiyyə kartı ilə ticarət platformasını və hədiyyə kartlarını ödəniş vasitəsi kimi qəbul edən 3 P2P kriptobirjasını müəyyən etdi. Gəlirin əsas mənbəyi yenidən yüklənmiş hədiyyə kartlarının sınaqdan keçirilməsi idi: 10 platformada 10 Python skriptindən istifadə etdilər və yeni yükləmələri 90 saniyəlik pəncərə daxilində izlədilər.

Hücumçu açıq qalan storage bucket-lər və səhv konfigurasiyalardan istifadə etdi; bu, autentifikasiya səhifəsini aşmağa və ya hədiyyə kart məlumatlarına çıxış verməyə imkan verirdi. Serverdə 4,098 sifariş qeydi, 3,690 şəkil heşi və Cardlumi ilə əlaqəli 3,998 ələ keçirilmiş hədiyyə kartı şəkili saxlanılırdı. Cardtonic adlı bir platformada, hər hansı səlahiyyətli istifadəçinin ticarət məlumatlarını — o cümlədən hədiyyə kart kodlarını açıq mətn şəklində və istifadəçi e-poçtlarını — tələb etməyə imkan verən səhv API konfigurasiyası vardı; lakin bu yalnız konsepsiyanı təsdiqləmə səviyyəsində yoxlanıldı.

Əlavə əməliyyatlar da aşkarlandı

Serverdə Trustonic ALPS-ə qarşı materiallar da saxlanılırdı; bu, mobil operatorların cihazları uzaqdan kilidləmək və ya açmaq üçün istifadə etdiyi bulud platformasıdır. Hücumçu kompromatlaşmış autentifikasiya məlumatlarını səhv konfiqurasiya edilmiş API ilə birləşdirdi; bu, yalnız oxuma icazəsi olan istifadəçilərə cihazın kilidləmə siyasətini dəyişmək imkanı verirdi. Trustonic daxili araşdırma nəticəsində autentifikasiya məlumatlarının platformaya daxil olmaqla deyil, qurbanların cihazlarındakı infostealer zərərli proqramı ilə əldə edildiyini bəyan etdi. Şirkət zərər görmüş hesabların parollarını bərpa etdi.

İkinci əməliyyat mobil telefonlar üçün servis aləti olan Octoplus Box ilə əlaqəli idi. Hücumçu Dhru Fusion API-na bənzəyən saxta GSM xidməti yaradıb 10 kompromatlaşmış hesab ilə Telegram bot vasitəsilə xidmətlər satırdı. Serverdə kompromatlaşmış distributor hesablarının məlumatlarını — o cümlədən istifadəçi adlarını, açıq mətn parollarını və 341 tranzaksiya qeydini — ehtiva edən SQLite verilənlər bazası saxlanılırdı.

Zəka ilə dəstəklənən iş prosesi

Araşdırmacıların sözünə görə, hədiyyə kartı saxtakarlığı ən azı qismən zəka dəstəyi ilə icra olunurdu; bu prosesdə Anthropic şirkətinin Claude modeli əsas AI agent kimi istifadə olunurdu. Fayllarda hücumçunə aid ola biləcək şəxsi e-poçt ünvanları tapıldı, ispanca yazılmış hesablar isə operatorın ispanca danışdığını göstərir.

Aşkarlaşma xronologiyası: sızma 2026-cı ilin 19 iyulunda aşkar edildi; Cardtonic və Trustonic-ə ilk bildiriş 2026-cı ilin 28 avqustunda göndərildi; Cardlumi-ə ilk bildiriş 2026-cı ilin 31 avqustunda göndərildi; sızmanın 2026-cı ilin 14 avqustunda bağlandığı qeyd edildi.

Mənbələr: Cybernews