Izuzetno aktivna grupa INF GRUPA objavila je novu bazu u nizu svojih kompromitacija, ovoga puta tvrdeći da je reč o podacima iz sistema Hrvatskog zavoda za mirovinsko osiguranje mirovinsko.hr (HZMO).

   
Šta je procurelo?

U svojoj objavi, INF GRUPA tvrdi da besplatno objavljuje bazu sa 105.000 verifikovanih zapisa građana Republike Hrvatske, navodno preuzetih direktno iz informacionih sistema HZMO.
Prema njihovim navodima, podaci uključuju:
Ime i prezime
Brojeve telefona
OIB (lični identifikacioni broj)
Email adrese

   
Grupa naglašava da od HZMO-a ili bilo koje druge hrvatske institucije ne traži nikakvu novčanu nadoknadu, niti ih zanima plaćanje u kriptovalutama poput Bitcoina ili Monera, već da je cilj ove operacije pokazivanje prisustva i dokazivanje onoga što nazivaju "nacionalnom pretnjom Republici Hrvatskoj".
Podaci deluju autentično.

INF GRUPA je i ranije bila poznata hrvatskim institucijama zbog niza tvrdnji o upadima i objavama kompromitovanih podataka.
Prema njihovim ranijim objavama, grupa je povezivana sa kompromitacijom više državnih sistema i sajtova, uključujući:

• Ministarstvo rada, mirovinskog sustava, obitelji i socijalne politike Republike Hrvatske
  
• Zagreb.hr, zvanični portal Grada Zagreba
  
• Hrvatski pravosudni sistem, koji su prema njihovim tvrdnjama kompromitovali u dva navrata, prvo objavom oko 60.000 zapisa, a zatim i dodatnih 26.000 podataka pre nedelju dana.
  

Najnovija objava odnosi se na Hrvatski zavod za mirovinsko osiguranje (HZMO), ukoliko su tvrdnje grupe tačne, ovo bi predstavljao još jedan u nizu ozbiljnih incidenata.

Na kraju svoje objave, INF GRUPA je ostavila i poruku kojom objašnjava zbog čega, kako tvrde, poslednjih dana intenziviraju svoje aktivnosti:

Quote:"A za one koji se pitaju zašto se tempo promenio i zašto sada jače udaramo... recimo samo da su nas nedavni događaji u Hrvatskoj podsetili da ćutanje nije strategija, i da svaka akcija izaziva reakciju. Ovi leakovi nisu slučajnost nego poruka."

Objava se završava uvredljivom političkom porukom usmerenom prema Hrvatskoj.

Na jednom forumu nalog povezan sa INF Grupom je objavio navodnu kompromitaciju sajta za mobilne telefone mobilland.rs i preuzimanje baze podataka sa istog.

Izgleda da su u pitanju podaci kupaca uključujući adresu i broj telefona, ukupne količine od oko 7,500 zapisa

   

Zlonamerni akter koji učestalo kompromituje i nudi na prodaju baze iz celog sveta je danas objavio navodnu kompromitaciju i prodaju baze od Republičkog Fonda za Zdravstveno Osiguranje...

   

Akter tvrdi da je pristupio bazama i da posle deduplikacije i čišćenja sadrži oko 5 miliona validnih zapisa od ukupno oko 8 miliona koliko baze prijavljuju da sadrže određene tabele. Navodno je obavestio RFZO i ne traži nikakav otkup za podatke nego ih prodaje na otvorenom tržištu samo proverenim kupcima.

Postavio je i dokaze kompromitacije iz kojih je jasno da je ušao putem SQL injection propusta na jednoj stranici za proveru podataka na sajtu RFZO - rfzo.rs, čime je stekao pristup bazi podataka.

Neću postaviti kako je ušao jer mi nije poznato da li je propust saniran, ali mogu da kažem da navodni dokazi kompromitacije deluju autentično. Postavio je sledeće kao dokaz pristupa bazi gde se vidi i spisak svih tabela :

   

Spisak tabela koje je navodno preuzeo i nudi na prodaju :

   

Na drugom snimku ekrana postavio je pristup tabeli "proveradoprinosa" gde se vidi spisak firmi. Na još jednom je postavio pristup tabeli "izjave" koje sadrži spisak izabranih lekara za sve osiguranike.

Postavio je i uzorak iz tabele "izjave" koji sadrži 342,732 zapisa odnosno "izjava" o izabranom lekaru.

Tabela iz uzorka sadrži LBO i JMBG osiguranika, naziv specijalizacije lekara, ime ustanove, ime i prezime njihovog izabranog lekara.

   

Na javno dostupni email servis Službe za poslove sa strancima BiH (SPS) izvršen je hakerski napad prilikom čega su uposlenicima ukradeni podaci s korisničkim imenima i lozinkama, saznaje Istraga.ba.

Quote:SPS je informaciju o hakerskom napadu dobio od Obavještajno-sigurnosne agencije (OSA). U pitanju je propust uposlenika SPS koji su radili na održavanju servisa.

Utvrđeno je da je navedeni servis koristio zastarjelu strukturu Microsoft Exchange Server 2026. godine za koji je Microsoft 2025. obustavio izdavanje sigurnosnih ažuriranja.

Zbog toga nije postajala adekvatna zaštita od hakerskih napada.

Email servis SPS-a inficiran je malverom za krađu korisničkih podataka. Korisnici nisu mogli primjetiti da su njihovi akreditivi kompromitovani jer servis nije pokazivao neke vidljive promjene prilikom procesa prijave.

Također je utvrđeno da se ukradeni korisnički podaci šalju nazad na isti email server što ukazuje da haker posjeduje stalni udaljeni pristup email severu, a koji koristi za pohranu i distribuciju ukradenih podataka.

Predstavnici SPS-a se o ovom pitanju još uvijek nisu javno oglasili.

Retko imamo priliku da se javno obelodani uzrok neke kompromitacije u regionu...

Prevara počinje SMS porukom:

   

Domen je hostovan na istoj IP adresi kao i Detektovani lažni domeni Banca Intesa - intesa-banka.com, intesa-rs.com i drugi

"George" je nekakav e-banking od Erste banke, jedini podataka koji traži je JMBG a broj telefona i mejl nije tražio, verovatno bi trebalo da vuče od negde u pokušaju otimanja e-banking naloga ili proksiranju procedure za povratak naloga...

   

   

   

   

   

Čini mi se da ovo nije ista prevara kao Detektovani lažni domeni Banca Intesa - intesa-banka.com, intesa-rs.com i drugi

   

domen koristi LNTESA umesto INTESA, verovatno da spreči da ga brzo nađu istraživači ako pretražuju domene ili logove izdatih sertifikata po ključnoj reči "intesa"... 

Sajt sa desktopa prikazuje kao da smo blokirani :

   

Sa mobilne IP adrese učitava, ali očigledno nije dobar fišing kit jer jezik nije prilagođen nego pokazuje malo na slovenačkom malo na srpskom :


   

   

   

   

       
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

       

Prijavljeno vise puta, ali bez odgovora..

Domen je već nekoliko dana aktivan...

   

kada se unesu podaci u pozadini verovatno pokušava da se poveže na m-banking putem procesa povrata naloga

   

Izuzetno aktivna grupa INF GRUPA objavila je još jednu bazu u nizu kompromitacija, ovoga puta direktno iz hrvatskog pravosudnog sistema (Opet).
Na jednom dark forumu osvanula je poruka potpisana njihovim imenom, u kojoj se navodi da je grupa i dalje operativna uprkos hapšenjima i medijskim natpisima.

Deluje da su izuzetno ljuti upravo zbog tog hapšenja..
Umesto prodaje, bazu hrvatskog pravosuđa dele potpuno besplatno, kao čin osvete zbog, kako kažu, "laži i hapšenja nedužnih ljudi".

Šta je procurelo?

Prema njihovoj objavi, u pitanju je baza od 86.000 fizičkih lica iz pravosudnog sistema Hrvatske. Podaci uključuju:

Ime i prezime
OIB (lični identifikacioni broj)
JMBG (jedinstveni matični broj građanina, koji se navodno interno jos uvek koristi u njihovom sistemu)
Datum rođenja

   

Grupa je uz objavu podelila i link za besplatno preuzimanje cele baze, uz poruku: "Ovo je tek početak. Hrvatska će nas pamtiti."

Mešanje stare i nove baze

U svojoj poruci, INF GRUPA napominje da su pomešali svoje ranije curenje podataka sa novih 26.000 zapisa koje su naknadno pribavili.
To sugeriše da imaju kontinuirani pristup sistemima i da nije reč o jednokratnom upadu.
   

Deluje da je reakcija INF GRUPE bila prilično impulsivna i emotivna za nekoga za koga uporno tvrde da nije imao nikakve veze sa njima,
ali ipak je ovo samo moje misljenje...

https://urlscan.io/result/019fad84-fe8d-...95bd5b281/

   


Ovaj sajt komunicira sa zlonamernim domenom koji se koristi za isporuku malvera.

   


https://threatfox.abuse.ch/ioc/1863422/