В корне домена boroxior, который выдаёт себя за южноафриканские инвестиционные проекты, лежал архив с полной резервной копией серверной части. Копия оказалась в открытом доступе, и это дало редкую возможность увидеть, как такие схемы устроены изнутри. Обнаружили её 17 сентября 2026 года. Целевая аудитория - жители Южной Африки, которых заманивают через платную рекламу. Ниже - то, что удалось восстановить по содержимому архива.
Описание
Восемь почти одинаковых наборов страниц имитируют News24, SABC News, Bloomberg, SMWX и официальный портал правительства страны. Каждый набор продвигает собственное "предложение". В заголовках фигурируют Илон Маск, Кристо Висе, Джулиус Малема, Энох Годонгвана, Сирил Рамафоса, Патрис Мотсепе и Йохан Руперт. Одни материалы подаются как эксклюзивное интервью, другие - как журналистское расследование. Обещания различаются: где-то бонус к депозиту в 100%, где-то 539 тысяч рэндов за 30 дней. Самый щедрый вариант сулит 400 тысяч рэндов в месяц и ограничивает окно входа 48 часами. Один из наборов прямо предлагает закрыть страницу тем, кто зарабатывает меньше 35 тысяч рэндов в месяц. Грубый фильтр отсекает людей, которые не смогут внести депозит.
Обман показывают не всем подряд. Решение о том, что увидит посетитель, принимает система распределения трафика - промежуточный сервис, который направляет людей на разные версии одного сайта. Боты, проверяющие рекламные площадки, и посетители из других стран получают безобидную заглушку. Житель ЮАР, пришедший по объявлению, попадает на мошенническую страницу. Такая избирательность характерна для платформы Keitaro, которую регулярно приспосабливают под подобные схемы, по данным разбора попавшего в открытый доступ архива. Заодно страницы собирают все параметры рекламных кампаний: источник, площадку, тип устройства, идентификаторы объявлений. Всё это складывается в скрытые поля формы, чтобы оператор понимал, какое объявление принесло заявку.
Убеждают здесь не текстом, а антуражем. Статьи собраны из чужих стилей, шрифтов и элементов вёрстки, поэтому визуально не отличаются от настоящих публикаций. Внутри - выдуманные комментарии читателей, отзывы с картинками прибыли, обратный отсчёт и обещание, что регистрация закроется завтра. Даты подставляются скриптом, а встроенный набор переводов переписывает их на "4 часа назад" более чем на тридцати языках. Так материал выглядит свежим независимо от региона жертвы. Кнопки и ссылки лишены адресов: любое нажатие возвращает к форме регистрации. Всплывающее окно при попытке уйти в этих сборках отключено.
Куда уходят данные жертв
Сама форма выглядит скромно: имя, фамилия, электронная почта и телефон. Страну и код набора номера она подставляет автоматически, определив их по сетевому адресу посетителя. Отправка запускает цепочку из нескольких действий. Полная запись уходит в систему управления взаимоотношениями с клиентами на отдельный сервер. Параллельно отметка о заявке возвращается в систему распределения трафика, срабатывает счётчик рекламной сети и приходит сообщение в закрытый чат Telegram. Затем открывается страница успеха с рекламными пикселями Facebook*, а если брокер прислал ссылку, человека перебрасывает в его личный кабинет. Отдельная деталь: ключ доступа к Telegram-боту остался прямо в коде. Любой, кто получил архив, может читать чужие заявки, писать в канал оператора и перехватывать управление ботом. Повторных посетителей схема запоминает и на две недели показывает им поддельную страницу успеха.
След общего конструктора
В коде одного из наборов нашлась ссылка на публичный репозиторий, откуда подгружались картинки с флагами для поля с телефоном. Аккаунт на GitHub создали 30 января 2024 года, единственный репозиторий заполнили за полчаса и больше не трогали. Статистика сети доставки контента показывает, что за год этот файл запрашивали более 3,8 млн раз. Провалы приходятся на выходные, значит, рекламный бюджет на субботу и воскресенье урезают. Пик пришёлся на октябрь 2025 года, дальше объём плавно снижается: похоже, набор инструментов сворачивают или переносят на другой хостинг статики. Поиск по совпадению того же файла нашёл 45 страниц, включая кластер европейских схем с похожей структурой каталогов. Перед нами не разработка одной группы, а общий конструктор, который делят между собой бренды и партнёры.
Южноафриканским читателям вывод очевиден: проверять адрес сайта по официальному домену издания, а не по ссылке из ленты. Финансовым компаниям придётся считаться с тем, что резервные копии и служебные журналы часто остаются в открытом доступе. Именно они позволяют восстановить всю схему за считаные дни. Утечка показала и другое: инфраструктура обмана стала дешёвой. Один конструктор обслуживает десятки брендов, а трафик покупается по тем же правилам, что и в легальных кампаниях.
* Компания Meta и её продукты (включая Instagram, Facebook, Threads, Meta AI) признаны экстремистскими, их деятельность запрещена на территории РФ.
Индикаторы компрометации
