Виявлений хакерський сервер розкриває масштабне шахрайство з подарунковими картками та додаткові схеми

Виявлений сервер підтверджує масштабне шахрайство з подарунковими картками

Дослідники Cybernews наприкінці липня 2026 року виявили сервер актора загрози, на якому зберігалися вихідний код, журнали атак, бази даних та результати масштабних операцій з шахрайства подарунковими картками. За припущенням команди, ця програма діяла щонайменше з березня 2026 року.

Зловмисник зосереджував увагу на перевірці завантажених на P2P торговельні платформи подарункових карток і перехоплював дані платних карток до завершення звичайної транзакції. Подарункові картки є прибутковою ціллю, оскільки працюють як цифрова готівка: їх можна швидко використати, легко перепродати, а після крадіжки відновити складно.

Як працювала операція

Актори загрози моніторили сотні онлайн-платформ. Власники сервера виявили платформу для торгівлі 58 подарунковими картками і 3 P2P криптобіржі, які приймали подарункові картки як засіб оплати. Основним джерелом доходу був збір щойно завантажених подарункових карток: на 10 платформах вони використовували 10 Python скриптів і відстежували нові завантаження у 90-секундному вікні.

Зловмисник використовував публічно доступні storage bucket-и та неправильні конфігурації, що дозволяло обходити автентифікацію або отримувати доступ до даних подарункових карток. На сервері зберігалося 4,098 записів замовлень, 3,690 хешів зображень та 3,998 отриманих зображень подарункових карток, пов'язаних із Cardlumi. Одна платформа, Cardtonic, мала неправильну конфігурацію API, яка дозволяла будь-якому авторизованому користувачеві запитувати інформацію про торгівлю, включаючи коди подарункових карток у відкритому тексті та електронні пошти клієнтів; однак це перевірено лише на рівні концепції.

Також виявлено додаткові операції

На сервері також зберігалися матеріали щодо Trustonic ALPS — це хмарна платформа, яку мобільні оператори використовують для дистанційного блокування або розблокування пристроїв. Зловмисник поєднував скомпрометовані дані автентифікації з неправильною конфігурацією API, яка дозволяла користувачам з правами лише на читання змінювати політику блокування пристроїв. Trustonic заявив, що внутрішнім розслідуванням виявлено, що дані автентифікації були отримані зражених користувальницьких пристроїв за допомогою шкідливої програми infostealer, а не через проникнення в платформу. Компанія скинула паролі скомпрометованих облікових записів.

Друга операція була пов'язана з Octoplus Box — сервісним інструментом для мобільних телефонів. Зловмисник створив фальшивий GSM-сервіс, схожий на Dhru Fusion API, і продавав послуги через Telegram-бота з 10 скомпрометованими обліковими записами. На сервері зберігалася база даних SQLite із даними скомпрометованих облікових записів реселерів, включаючи імена користувачів, паролі у відкритому тексті та 341 запис транзакцій.

Робочий процес за підтримки штучного інтелекту

За словами дослідників, шахрайство з подарунковими картками щонайменше частково відбувалося за підтримки штучного інтелекту, де Claude від Anthropic використовувався як головний AI-агент у процесі атаки. У файлах знайдено особисті адреси електронної пошти, які можуть належати зловмиснику, а записи іспанською мовою вказують на те, що оператор розмовляв іспанською.

Хронологія розкриття: виявлення зафіксовано 19 липня 2026 року; перше повідомлення надіслано Cardtonic та Trustonic 28 серпня 2026 року; перше повідомлення надіслано Cardlumi 31 серпня 2026 року; зафіксовано, що виявлення було видалено 14 серпня 2026 року.

Джерела: Cybernews