გამჟღავნებული ჰაკერული სერვერი მასშტაბურ სასაჩუქრე ბარათების თაღლითობასა და დამატებით სქემებს ამხელს

გამჟღავნებული სერვერი მასშტაბურ სასაჩუქრე ბარათების თაღლითობას ადასტურებს

Cybernews-ის მკვლევრებმა 2026 წლის ივლისის ბოლოს აღმოაჩინეს გამჟღავნებული საფრთხის აქტორის სერვერი, რომელზეც ინახებოდა საწყისი კოდი, თავდასხმის შენიშვნები, მონაცემთა ბაზები და მასშტაბური სასაჩუქრე ბარათების თაღლითური ოპერაციის შედეგები. გუნდის ვარაუდით, ეს პროგრამა მინიმუმ 2026 წლის მარტიდან მოქმედებდა.

თავდამსხმელი ყურადღებას ამახვილებდა P2P სავაჭრო პლატფორმებზე ატვირთული სასაჩუქრე ბარათების ჩაჭრაზე და ღირებულ ბარათის მონაცემებს ჩვეულებრივი ტრანზაქციის დასრულებამდე იპყრობდა. სასაჩუქრე ბარათები მომგებიანი სამიზნეა, რადგან ციფრული ნაღდი ფულივით მუშაობს: მათი გამოყენება სწრაფად შეიძლება, გადაყიდვა ადვილია, ხოლო მოპარვის შემდეგ აღდგენა რთული.

როგორ მუშაობდა ოპერაცია

საფრთხის აქტორები ათეულობით ონლაინ პლატფორმას იკვლევდნენ. სერვერის მფლობელებმა დაადგინეს 58 სასაჩუქრე ბარათებით ვაჭრობის პლატფორმა და 3 P2P კრიპტობირჟა, რომლებიც სასაჩუქრე ბარათებს გადახდის საშუალებად იღებდნენ. შემოსავლის ძირითადი წყარო ახლად ატვირთული სასაჩუქრე ბარათების ჩაჭრა იყო: 10 პლატფორმაზე 10 Python სკრიპტს იყენებდნენ და ახალ ატვირთვებს 90-წამიან ფანჯარაში აკვირდებოდნენ.

თავდამსხმელი იყენებდა საჯაროდ გამჟღავნებულ storage bucket-ებსა და არასწორ კონფიგურაციებს, რაც ავტორიზაციის გვერდის ავლას ან სასაჩუქრე ბარათების მონაცემებზე წვდომას იძლეოდა. სერვერზე ინახებოდა 4,098 შეკვეთის ჩანაწერი, 3,690 სურათის ჰეში და Cardlumi-სთან დაკავშირებული 3,998 ჩაჭერილი სასაჩუქრე ბარათის სურათი. ერთ პლატფორმას, Cardtonic-ს, ჰქონდა API-ის არასწორი კონფიგურაცია, რომელიც ნებისმიერ ავტორიზებულ მომხმარებელს საშუალებას აძლევდა მოეთხოვა ვაჭრობის ინფორმაცია, მათ შორის სასაჩუქრე ბარათების კოდები ღია ტექსტით და მომხმარებლების ელფოსტები; თუმცა ეს მხოლოდ კონცეფციის დადასტურების დონეზე შემოწმდა.

გამჟღავნდა დამატებითი ოპერაციებიც

სერვერზე ასევე ინახებოდა მასალა Trustonic ALPS-ის წინააღმდეგ, ეს არის ღრუბლოვანი პლატფორმა, რომელსაც მობილური ოპერატორები მოწყობილობების დისტანციურად ჩასაკეტად ან გასახსნელად იყენებენ. თავდამსხმელი აერთიანებდა კომპრომეტირებულ ავტორიზაციის მონაცემებს API-ის არასწორ კონფიგურაციასთან, რომელიც მხოლოდ წაკითხვის უფლების მქონე მომხმარებლებს მოწყობილობის ჩაკეტვის პოლიტიკის შეცვლის საშუალებას აძლევდა. Trustonic-მა განაცხადა, რომ შიდა გამოძიებით ავტორიზაციის მონაცემები დაზარალებული მომხმარებლების მოწყობილობებზე infostealer მავნე პროგრამის მეშვეობით მოიპოვეს და არა პლატფორმაში შეღწევით. კომპანიამ დაზარალებული ანგარიშების პაროლები გადააყენა.

მეორე ოპერაცია Octoplus Box-ს უკავშირდებოდა, მობილური ტელეფონების სერვისული ხელსაწყო. თავდამსხმელმა შექმნა Dhru Fusion API-ის მსგავსი ყალბი GSM სერვისი და 10 კომპრომეტირებული ანგარიშით Telegram-ბოტის მეშვეობით სერვისებს ყიდდა. სერვერზე ინახებოდა SQLite მონაცემთა ბაზა კომპრომეტირებული რესელერების ანგარიშების მონაცემებით, მათ შორის მომხმარებლის სახელები, პაროლები ღია ტექსტით და 341 ტრანზაქციის ჩანაწერი.

ხელოვნური ინტელექტით მხარდაჭერილი სამუშაო პროცესი

მკვლევრების თქმით, სასაჩუქრე ბარათების თაღლითობა სულ მცირე ნაწილობრივ ხელოვნური ინტელექტის მხარდაჭერით მიმდინარეობდა, სადაც Anthropic-ის Claude თავდასხმის პროცესში მთავარ AI აგენტად გამოიყენებოდა. ფაილებში მოიძებნა პირადი ელფოსტის მისამართები, რომლებიც შესაძლოა თავდამსხმელს ეკუთვნოდეს, ხოლო ესპანურად დაწერილი ანგარიშები მიუთითებს, რომ ოპერატორი ესპანურად მოლაპარაკე იყო.

გამჟღავნების ქრონოლოგია: გაჟონვა აღმოჩენილია 2026 წლის 19 ივლისს; თავდაპირველი შეტყობინება Cardtonic-სა და Trustonic-ს გაეგზავნა 2026 წლის 28 აგვისტოს; თავდაპირველი შეტყობინება Cardlumi-ს გაეგზავნა 2026 წლის 31 აგვისტოს; დაფიქსირდა, რომ გაჟონვა 2026 წლის 14 აგვისტოს დაიხურა.

წყაროები: Cybernews