Anthropic nashr etdi o'z modellarini buzish, kuzatuv va targ'ibot uchun qanday ishlatishga urinishganligi haqidagi hisobotni: 2025-yil dekabrdan 2026-yil avgustgacha bo'lgan to'qqiz oylik kuzatuv, o'ttiz yettita belgilangan operatsiya. AI-xakerlar haqidagi sarlavhalar ortida Telegram auditoriyasi uchun ayniqsa muhim bo'lgan bir tafsilot yo'qoladi: hisobotda Telegram so'zi ellik uch marta, "cryptocurrency" so'zi esa biror marta ham uchramaydi.
Na "bitcoin", na "hamyon", na "blockchain". Ikki yuz oltmish ming belgida yagona "crypto" — bu Rossiya mudofaa xaridlari jadvalidagi cryptographic software, ya'ni kriptografiya, tangalar emas. Shu bilan birga, Telegram WhatsApp, X/Twitter va Instagram birgalikda olinganidan ko'ra ko'proq tilga olingan.
Telegram bu operatsiyalarda nima bo'ldi
Jinoyatchilar yozishmalar olib boradigan messenjer emas. U hisobotda oltita turli vazifani bajaradi va deyarli barchasi uni odatda ta'riflaydigan vazifalar emas.
| Vazifa | Nima aniq |
|---|---|
| Konveyer | Tekshirilgan o'g'irlangan kalitlar mavzular bo'yicha tartiblangan guruhga tushadi |
| Chiqarish kanali | «Telegram bot streams» — ma'lumotlar jabrlanuvchidan chiqib ketadigan oltita yo'ldan biri |
| Ombor | O'lja saqlanadigan va u yerdan savdo qilinadigan guruh chati |
| Vitrina | Mini App sifatida yig'ilgan o'g'irlangan kartalar do'koni |
| Boshqaruv | C2-kanal malvari, uning chat-ID'lari indikatorlarda ko'rsatilgan |
| Niqoblash | Telegram nomi va uning ikonkasiga ega bajariladigan fayl |
Va yettinchi vazifa — nishon: yopiq guruhlarning yuklamalari, ishtirokchilarni deanonimizatsiya qilish va ommaviy shikoyatlar boti kuzatuv bo'limida tasvirlangan.
Chat mavzulari bo'yicha tartiblangan konveyer
MeowSHA, frkoo va blazespider taxalluslari ostidagi operator — ShinyHunters guruhining affillangan a'zolaridan biri — AWS EC2'da o'nta ishchi mashinasini saqlagan. Ular bir nechta ilovalar do'konlaridan 1,8 million turli Android-APK'ni yuklab olishgan, ularni dekompilyatsiya qilishgan va TruffleHog skaneri yordamida ichidagi yashirin sirlarni qidirishgan. Topilgan narsalar jonli ekanligi tekshirilgan va real vaqtda yuzdan ortiq manba turlari bo'yicha tartiblangan Telegram guruhiga yuborilgan.
Keyin indikatorlar jadvallarini o'qishga arziydigan mexanika boshlanadi. Ikkita guruh bor. "ClintonHog"ga tekshirilgan kalitlarning birinchi to'lqini tushgan. Ikkinchi guruh, "ChatMignon"da — 471 ta forum mavzusi, har bir sir detektori turi uchun bittadan. Superguruhdagi forum mavzulari suhbat uchun rubrikalar sifatida mo'ljallangan; bu yerda ular marshrut jadvali bo'lib xizmat qilgan: AWS kaliti o'z shoxobchasiga, GitHub tokeni o'ziga, to'lov shlyuzi kaliti o'ziga tushgan. TruffleHog'da sakkiz yuzdan ortiq detektor mavjud, shuning uchun katalogning taxminan yarmi kamida bir marta tasdiqlangan natija bergan va alohida mavzuga loyiq bo'lgan.
O'g'irlangan narsalarni saralash — sotib oluvchining ishining eng zerikarli va eng mehnat talab qiladigan qismi. Bu yerda uni yozishmagan: uni messenjerdan tayyor holda olishgan.
Mini App sifatida o'g'irlangan kartalar do'koni
Operatorning vitrinasi Fransiya milliy politsiyasini taqlid qiluvchi domenda joylashgan edi — policenationale[.]cc; Anthropic alohida ta'kidlaydiki, bu fishing tuzog'i emas, balki jinoiy do'konning brendingidir. Mahsulot — "fiches", to'lov kartalari yozuvlari, BIN bo'yicha ma'lumotlar, egasining to'liq ma'lumotlari va jabrlanuvchilar manzillarining interaktiv xaritasi bilan boyitilgan.
Xaridorga bularning barchasi Telegram Mini App orqali yetkazilgan, uning ortida PostgreSQL va GraphQL'da ishlaydigan Soraki platformasi turgan. Xuddi shu platforma Fransiya bo'yicha barcha ma'lumotlar sizib chiqishini, shu jumladan telekom-operatorning IBAN va BIC bilan to'rt yuz ming yozuvdan iborat massivini birlashtirgan va ularni qidiruv orqali taqdim etgan.
Stak xuddi oddiy mini-ilovalar studiyalari o'zlarini ta'riflaydigan so'zlar bilan tasvirlangan: bot, Mini App, GraphQL, Postgres. Faqat mahsulot farq qiladi.
Hisobotda crypto qayerda
U mavzu sifatida mavjud emas — lekin nishon sifatida mavjud va bu uchta turli syujetdir.
Soxta domenlar. Komprometatsiya indikatorlarida pochta tuzoqlari yonida ari-chain[.]com, arichain[.]network, bitmart-mystery[.]com va defi-claim[.]xyz joylashgan. Dastlabki ikkitasi Arichain — auditoriyasi airdrop kutayotgan haqiqiy L1'ni taqlid qiladi. Uchinchisi — BitMart birjasi haqiqatda o'tkazadigan mexanizmni: mukofotli "mystery-box". To'rtinchisi hech qanday aniq narsani taqlid qilmaydi: claim sahifasi janr sifatida.
Akkauntlar fabrikasi. Hisobotda GTG-50020 sifatida kuzatilgan boshqa bir aktyor ro'yxatdan o'tishni oqimga qo'ygan: rezident proksilar, antidetekt-brauzerlar, birjalar va marketplace'larda ro'yxatdan o'tish formasini to'ldiradigan botlar, tijorat kapcha yechuvchilar, pochta qutilarini avtomatik so'rov qilish va shaxsni tasdiqlash bosqichlarini avtomatik o'tish. Tayyor tasdiqlangan akkauntlar zaxiraga yig'ilgan.
Tasdiqlashni ushlab qolish. Xuddi shu aktyor jabrlanuvchini tasdiqlash sahifasining dublikat domeniga yo'naltirgan, uning teskari proksisi haqiqiy KYC oqimini uzatgan. Odam haqiqiy tasdiqlashdan o'tgan — haqiqiy hujjatlar bilan, — operator esa o'rtadan tayyor sessiya va hujjatlarni olib, o'z mashinasidan kirgan.
Hisobotda pul yetarli, faqat ular tangalarda emas: kartalar, 26 gigabayt yuklab olingan ma'lumotlar uchun bir yarim-ikki yarim million dollarlik tovlamachilik, AI-provayderlarga kirish huquqlari va o'g'irlangan kalitlarni qayta sotish. Operatorlardan biri, o'z so'zlariga ko'ra, o'zi buzgan va shantaj qilgan kompaniyalardan ikki ming va besh ming dollarlik qonuniy bug-bounty to'lovlarini ham olgan.
Laundering so'zi hisobotda o'n besh marta uchraydi va biror marta ham pul haqida emas: manba, atributsiya va ishonch yuviladi — davlat narrativi mustaqil ovoz bo'lib ko'rinishi uchun. TON umuman tilga olinmagan.
Bundan siz uchun nima kelib chiqadi
Tasdiqlashni ushlab qolish "bu haqiqiy saytmi" degan odatiy tekshiruvni buzadi. Sahifa haqiqiy, oqim haqiqiy, hujjatlar haqiqiy xizmatga yuboriladi — faqat siz u yerga kelgan yo'l soxtalashtirilgan. Bu yerda bitta narsa ishlaydi: xat, chat yoki qidiruvdagi havoladan tasdiqlashni boshlamaslik, faqat xizmatga o'z kirishingizdan boshlash.
Telegram ichidagi Mini App — bu qobiqdagi veb-sahifa, tasdiqlangan ilova emas. O'g'irlangan kartalar do'koni aynan shunday yetkazilgan: platforma sotib oluvchining vitrinasini o'yindan ajratmaydi.
Agar siz mobil ilova nashr qilsangiz, uning APK'si allaqachon yuklab olingan va dekompilyatsiya qilingan deb hisoblang. O'n mashinada bir million sakkiz yuz ming fayl bir necha hafta ichida tahlil qilinadi, botning yashirin tokeni yoki to'lov shlyuzi kaliti esa skaner tomonidan soniyalarda topiladi.
Birjada tasdiqlangan akkaunt ortida odam borligining dalili bo'lishni to'xtatdi: fabrika bunday akkauntlarni konveyer usulida, KYC'dan o'tish bilan birga ishlab chiqaradi.
Akkaunt raqamlari bo'yicha nima ko'rinadi
Operator haqidagi bobning oxirida uning infratuzilmasining Telegram manzillari jadvali keltirilgan: shaxsning o'zi, uning to'rtta boti va ikkita guruhi. Bu yerda manzil @durov kabi ism emas, balki Telegram ro'yxatdan o'tishda beradigan ichki raqamdir.
Raqamlar o'sib borish tartibida joylashgan, shuning uchun jadval Telegram'ga birorta ham so'rov yubormasdan o'zini o'zi sanaydi. Operatorning shaxsiy akkaunti uning botlaridan ancha eski: u messenjerdan konveyerni yig'ishdan ancha oldin foydalangan. Botlar esa aksincha, deyarli bir-biriga yaqin joylashgan — ular bir sozlash sessiyasida, aniq bir vazifa uchun yaratilgan. Ikkala guruh ham Telegram yangi yaratilgan xonalarni joylashtiradigan diapazonga tushgan.
Ya'ni, hisobotda yaxshi yo'lga qo'yilgan ko'rinadigan ishlab chiqarish, o'chirilishidan biroz oldin yig'ilgan.
Telegram boshqa boblarda nima bo'ldi
Kuzatuv bo'limida model yuzdan ortiq WhatsApp guruhlari va o'nlab Telegram kanallaridan olingan suhbatlarni tuzilgan Xitoy ma'lumotlariga aylantirgan. O'sha yerda — messenjerning buyurtma asosida yaratilgan deanonimizatori, "telefon raqami → shaxs" rezolveri va ommaviy shikoyatlar boti. Alohida 244 ishtirokchili yopiq guruhning yangi yuklamasi ustidagi tahlil, uning ichidagi aloqalarni tahlil qilish bilan birga tilga olingan.
Malvarda Telegram ham niqob, ham quvur vazifasini bajaradi: keylogger Telegram Desktop fokusda bo'lganida bosishlarni yozib olgan; skrinshot komponenti Telegram nomi va uning ikonkasiga ega bajariladigan fayl sifatida harakat qilgan, rasmlarni esa bot orqali olib ketgan; ESET NOD32 antivirusiga soxta kirish sahifasi ushlangan parollarni o'sha yerga yuborgan.
Targ'ibot operatsiyalarida kanallar ham xomashyo, ham minbar bo'lgan: Sputnik maqolalari uchun manbalar Telegram kanallaridan olingan, natija ham o'sha yerga nashr qilingan. Bu qismning eng yoqimsiz epizodi — agentga haqiqiy faolning shaxsiy akkauntini klonlash vazifasi berilgan operatsiya: model uning taxminan 8 400 ta postini o'qigan, uslubini nusxalagan va uning kontaktlari bilan jonli siyosiy suhbatlar olib borgan.
