Բացահայտված հաքերական սերվերը բելևում է մասշտաբային նվերաարկայների խարդախությանը և լրացուցիչ սխեմաներին

Բացահայտված սերվերը հաստատում է մասշտաբային նվերաարկայների խարդախությունը

Cybernews-ի հետազոտողները 2026 թվականի հուլիսի վերջում հայտնաբերել են սպառումների ակտորի բացահայտված սերվերը, որին պահվում էին կոդի հիմնական կոդը, հարձակման դիտումները, տվյալների բազաները և մասշտաբային նվերաարկայների խարդախության օպերային արդյունքները: Թիմերը ենթադրում են, որ այս ծրագիրը աշխատել է 2026 թվականի մարտից մինչև առնվազն:

Հոսթինգը ուշադրություն էր գրավում P2P առևտրի հարթակներին վերբեռնված նվերաարկայների կտրմանը և գնով արժեքավոր քարտերի տվյալների կանխմանը սովորական գործարքի ավարտին: Նվերաարկայները եկամտաբեր թիվեր են, քանի որ թվային կանխիկ գումարի նման են աշխատում. դրանք արագ կարող են օգտագործվել, հեշտ է վերավաճառել, իսկ գողացման հետո վերականգնումը դժվար է:

Ինչպես էր աշխատում օպերայինը

Սպառումների ակտորները հետազոտում էին հազարավոր առցանց հարթակներ: Սերվերի սեփականատերերը հայտնաբերել են 58 նվերաարկայներով առևտրի հարթակ և 3 P2P կրիպտոբորուկ, որոնք նվերաարկայները վճարման միջոց էին ընդունում: Եկամտի հիմնական աղբյուրը նոր վերբեռնված նվերաարկայների կտրումը էր. 10 հարթակների վրա 10 Python սկրիպտներ օգտագործվում էին և նոր վերբեռնումներին հետևում էին 90 վայրկյան պատուհանում:

Հարձակումը օգտագործում էր հրապարակված storage bucket-ները և սալի կոնֆիգուրացիաները, որոնք թույլ էին տալ մուտք դեպի նույնականացման էջ կամ նվերաարկայների տվյալներ: Սերվերին պահվում էին 4,098 պատվերի գրառում, 3,690 պատկերի հեշ և Cardlumi-ի հետ կապված 3,998 կտրված նվերաարկայների պատկեր: Մեկ հարթակ՝ Cardtonic-ը, ուներ API-ի սալի կոնֆիգուրացիա, որը ցանկացած նույնականացված օգտատիպին թույլ էր տալ պահանջել առևտրի տեղեկատվություն, այդ թվում՝ նվերաարկայների կոդերը բաց տեքստով և օգտատերերի էլեկտրոնային հասցեները. սակայն դա ստուգվել է միայն հնարավորության մակարդակով:

Բացահայտվել են նաև լրացուցիչ օպերայիններ

Սերվերին պահվում էին նաև Trustonic ALPS-ի դեմ նյութեր, դա ամպային հարթակ է, որը բջջային օպերատորները օգտագործում են սարքերը հեռահարով կողմելու կամ բացելու համար: Հարձակումը միավորել է կոմպրոմատված նույնականացման տվյալները API-ի սալի կոնֆիգուրացիայի հետ, որը միայն կարդալու իրավունք ունեցող օգտատերերին թույլ էր տալ փոխել սարքերի կողմման քաղաքականությունը: Trustonic-ը հայտարարել է, որ ներին քննությամբ պարզվել է, որ նույնականացման տվյալները ձեռք են եկել վնասված օգտատերերի սարքերի infostealer վնասակար ծրագրի միջոցով, այլ ոչ թե հարթակի մուտքով: Ընկերությունը վերականգնել է վնասված հաշիվների գաղտնաբառերը:

Երկրորդ օպերայինը կապված էր Octoplus Box-ի հետ, բջջային հեռախոսների սպասարկման գործիք: Հարձակումը ստեղծել է Dhru Fusion API-ի նման կեղծ GSM ծառայություն և 10 կոմպրոմատված հաշիվներով Telegram բոտի միջոցով վաճառել է ծառայություններ: Սերվերին պահվում էր SQLite տվյալների բազա կոմպրոմատված վերավաճառողների հաշիվների տվյալներով, այդ թվում՝ օգտատիպի անունները, գաղտնաբառերը բաց տեքստով և 341 գործարքի գրառում:

Արհաստի խելացի էջանշված աշխատանքային գործընթաց

Հետազոտողների կարծիքով, նվերաարկայների խարդախությունը մասամբ կավարտվել է արհաստի խելացի էջանշմամբ, որտեղ Anthropic-ի Claude-ն հարձակման գործընթացում օգտագործվել է որպես հիմնական AI ագենտ: Ֆայլերում գտնվել են անձնական էլեկտրոնային հասցեներ, որոնք հնարավոր է պատկանել հարձակումներին, իսկ իսպաներեն գրված հաշիվները մատնացնում են, որ օպերատորը իսպաներեն խստացող էր:

Բացահայտման քրոնոլոգիա�. ձեռբակցումը հայտնաբերվել է 2026 թվականի հուլիսի 19-ին. առաջին ծանուցումը Cardtonic-ին և Trustonic-ին ուղարկվել է 2026 թվականի օգոստոսի 28-ին. առաջին ծանուցումը Cardlumi-ին ուղարկվել է 2026 թվականի օգոստոսի 31-ին. ամուրջվել է, որ ձեռբակցումը 2026 թվականի օգոստոսի 14-ին ավարտվել է:

Աղբյուրներ՝ Cybernews