Hronološki spisak sa linkovima ka temama na forumu od svih "INF Grupa" i sličnih kompromitacija radi lakšeg pronalaska i pretrage...

24.12.2025 - Kompromitovana ginekološka ordinacija, prodaje se dokumentacija, procurela baza (akter "faded" - nije eksplicitno INF Grupa preuzela odgovornost ali postoji dosta sličnosti)
17.03.2026 - Kompromitovana baza zahteva za "m:SAT TV" usluge Telekoma Srbije akter Zeus_kos : nisam siguran da je INF Grupa ali ne mogu ni da isključim tu mogućnost)
19.03.2026 - APR kompromitovan nalog i preuzeta dokumenta sa njega (akter Zeus_Kos)
28.03.2026 - Na prodaju pristup podacima gostiju hotela u Srbiji (akter potpisan na forumu kao "RatkoMladic", povezan sa "faded" gore)
12.04.2026 - Kompromitovan Fudbalski savez Srbije - fss.rs - procureli podaci sportista ("vvvv" nalog pre INFGRUPA)
19.04.2026 - Curenje podataka ugostiteljskog objekta Konačište Dabić Zlatibor ("vvvv" nalog pre INFGRUPA)
17.05.2026 - Navodno kompromitovani podaci Uprave za Strance od MUP Srbije ("vvvv" nalog pre INFGRUPA)
21.05.2026 - Na prodaju stavljeni podaci građana kompromitovanih od javnih izvršitelja ("vvvv" nalog pre INFGRUPA)
24.05.2026 - torta.rs - Narusen izlged sajta, objavljeno 90K podataka ("vvvv" nalog pre INFGRUPA)
24.05.2026 - kompromitovan sistem poruka vozačima gradskog saobraćaja - poslata poruka (prvi put eksplicitno kao INFRGUPA)
24.05.2026 - (HR) Kompromitovan mrosp.gov.hr - narusen izgled sajta (INFGRUPA)
26.05.2026 - meridianbet.rs - navodno kompromitovana baza sa 3.8 miliona korisnika (INFGRUPA)
26.05.2026 - (HR) Procureli podaci Ministarstva pravosuđa, uprave i digitalne transformacije (INFGRUPA)
27.05.2026 - Navodno kompromitovani podaci "MaxBet" (NCO - "New Cybercrime Order" akter - nepotvrđena moguća lažna kompromitacija, sličan stil kao INFGRUPA)
04.06.2026 - (BA) Procureli podaci Agencije za agrarna plaćanja Vlade Republike Srpske  (INFGRUPA)
28.06.2026 - (HR) Procurela baza (950k -> 563k) učenika i mejl adresa @skole.hr ("Smith")
29.06.2026 - (HR) Na prodaju navodni podaci 200k građana Hrvatske ("Smith")
10.08.2026 - (HR) Kompromitovan pravosudni sistem Hrvatske (INFGRUPA)
17.08.2026 - Kompromitovan RFZO - akter nudi sve baze podataka osiguranika na prodaju (akter "bytetobreach" - nema veze sa INFGRUPA)
18.08.2026 - Kompromitovan mobilland.rs - objavljeni podaci 7,500 kupaca (INFGRUPA)
21.08.2026 - Na jednom forumu objavljena prodaja navodne baze podataka 1M građana Srbije (INFGRUPA)
23.08.2026 - (HR) Kompromitovan fininfo.hr - objavljeno 34K zapisa (INFGRUPA)
23.08.2026 - (HR) Kompromitovana neimenovana hrvatska ordinacija, podeljeno 9.4k medicinskih podataka (INFGRUPA)
24.08.2026 - Oglašena prodaja navodne baze ličnih i medicinskih podataka 4.3M građana Srbije (INFGRUPA)
26.08.2026 - Navodno kompromitovan portal za "studente i stipendije" - procureli podaci studenata ("Albanian Electronic Army")
27.08.2026 - Uhapšena "INF grupa" koja je hakovala državne institucije i kompanije

---

17.09.2026 - Kompromitovan EnergyNet - energynet.rs - podaci klijenata (akter "Stefani")
15.10.2026 - Triglav osiguranje - Navodno kompromitovani podaci osiguranika putnog osiguranja (akter "Stefani")
20.10.2026 - Sava osiguranje - Navodno kompromitovani podaci osiguranika (akter "Stefani")
27.10.2026 - Orion Telekom WiFi - navodno kompromitovana baza 300k+ korisnika - objavljena prodaja (akter "Gravys" što je samo ime aktera "Stefani" ali na drugom forumu - oba koriste istu mejl adresu u objavama)

"INF Grupa" poznata po kompromitacijama državnih i privatnih resursa u Srbiji i Hrvatskoj je sa naloga na jednom forumu objavila prodaju navodnih podataka građana Srbije :

   

Podaci navodno sadrže Ime Prezime, JMBG, broj lične karte, Pasoš (broj?), datum rođenja, kućnu adresu, broj telefona, mejl adresu i još dodatni misteriozni "sočni" podatak.

Tvrde da je u ponudi više od 1M takvih zapisa

Na osnovu postavljenog na forumu bez uzorka nije moguće utvrditi izvor podataka ni legitimnost kao ni postojanje istih.

Mobilna verzija stranice potpuno je kompromitovana, sporni sadržaji završili su i u Googleovom indeksu, a Univerzitet se zasad nije oglasio

Quote:Riječ je o sadržaju karakterističnom za SEO spam i takozvani gambling defacement, a većina ubačenih izraza je na indonežanskom jeziku.

Sajr je trenutno ugašen :

   

Pronađen je Blind XInclude / XML Injection problem.
   

Tok napada izgleda ovako:

→
→
→

   
Prilikom slanja posebno kreiranog XML sadržaja aplikacija je napravila izlazni DNS zahtev ka eksternom serveru, što ukazuje da se korisnički kontrolisan XML obrađuje bez odgovarajuće zaštite.
Potvrđena je out-of-band DNS interakcija. Nije potvrđeno čitanje fajlova niti klasični XXE (DOCTYPE/ENTITY), već server-side XML/XInclude obrada.

Blind XXE je opasan zato što napadač ubaci zlonamerni XML koji server obradi, ali umesto da mu odmah vrati podatke u odgovoru, server ih potajno obrađuje u pozadini. Napadač onda može da natera server da čita fajlove sa samog sistema ili da pristupa servisima koji nisu dostupni spolja.

   

   

Pregledom ThreatFox baze uočio sam indikatore kompromitacije sa tagom etherhiding koji otkrivaju da je niz legitimnih srpskih sajtova poput obrazovnih i privatnih, hakovano i zloupotrebljeno od strane nepoznatog loadera malvera. Ovi kompromitovani sajtovi služe kao početna tačka za napad jer u svom kodu sadrže skrivene skripte koje posetiocima preusmeravaju ili preuzimaju maliciozni sadržaj.

   

U pitanju je napredna tehnika pod nazivom EtherHiding, u kojoj napadači umesto klasičnih servera koriste javni blokčejn i pametne ugovore za skrivanje i preuzimanje malicioznih instrukcija.

https://www.stormshield.com/news/cti-eth...echnology/

Čim se uđe na sajt, prikazuje se lažna Cloudflare CAPTCHA. Od korisnika se traži da otvore terminal, pokrenu određenu komandu koja se automatski kopira u clipboard i pritisnu Enter. Na taj način se aktivira komanda koja sa njihovog C2 servera preuzima maliciozni program, nakon čega dolazi do krađe podataka iz pretraživača, kao što su lozinke, korisnička imena, kriptonovcanici i slično.

   

Analizom komunikacije sajta sa drugim entitetima, naišao sam na domen koji je već poznat po malicioznim aktivnostima i sa kojeg se preuzimaju ti maliciozni programi.

https://urlscan.io/result/01a01f35-9755-...a8c4f00d7/
   

https://www.virustotal.com/gui/domain/dn.../community
   

Pozdrav svima,
  
Napravio sam pre mesec dana Chrome ekstenziju koja analizira mejlove u Gmail-u i Outlook Web-u i upozorava korisnika ako detektuje phishing obrasce.
  
  Kako radi:
  
  - Content script čita DOM mejla (tekst, linkove, pošiljaoca)
  - Lokalna heuristička analiza: keyword scoring sa težinama, link mismatch
  detekcija, sender typosquat (Levenshtein + homoglyph normalizacija + punycode
  dekodiranje), redirect analiza, body brand mismatch
  - Proaktivni badge na ikonici (MutationObserver detektuje otvaranje novog
  mejla)
  - Opciono: Google Safe Browsing Lookup API za poznate maliciozne URL-ove
  (opt-in, isključeno po default-u)
  
  Šta nije:
  
  - Nije ML/AI
  - Nema backend (osim opcionalnog SB poziva ka Google-u)
  - Ne čita email hedere (SPF/DKIM) - nema pristup
  - Ne zamenjuje enterprise rešenja (Proofpoint, Defender)
  
  Tehnički detalji:
  
  - Manifest V3
  - Keyword-only score ne može sam da dostigne DANGER - mora postojati structural signal (link mismatch, typosquat, redirect, SB hit)
  - Unicode NFKC + \p{Cf} normalizacija + Latin/Cyrillic/Greek homoglyph mapa
  - Word-boundary brand matching (regex lookaround) da "apple" ne hvata
  "pineapple"
  - Registrable domain comparison za sender-link mismatch (ručni PSL, ne bundlovan tldts)
  - Provider ownership mapping (Microsoft sender + SharePoint link = OK, ali samo
  ako brand context odgovara)
  
  Ograničenja:
  
  - Sofisticiran spear phishing sa čistim tekstom i novim domenom prolazi
  - Image-only phishing bez alt teksta nije pokriven
  - PSL lista je ručna (~30 multi-part TLD-ova) - ne puna Public Suffix List
  - API key je client-side 
  
  Dostupna besplatno na Chrome Web Store:
  https://chromewebstore.google.com/detail...fafcmeafca



Zanima me feedback od vas, posebno oko false positive/negative scenarija i ideja za poboljšanje detekcije bez backend-a.

Sajt trenutno nije u funkciji