Nema zvanične potvrde da je u pitanju Business Email Compromise gde su kompromitovali nekog poslovnog partnera i preko mejla tražili neke očekivane uplate ali sa izmenjenim bankovnim računima ali se tako pretpostavlja kako u medijskim izveštajima tako i među stručnjacima...

Internetski prevaranti izvukli 9 milijuna eura

Quote:Gotovo devet milijuna eura je šteta koju je pretrpjelo brodogradilište “Viktor Lenac” u slučaju koji se dovodi u vezu s kibernetičkom prevarom, vidljivo je iz objavljenog izvješća o poslovanju ovog brodogradilišta za prvi kvartal.

"Viktor Lenac" dijelom ublažio štetu od kibernetičke prevare, ali završio s gubitkom od 6,1 milijun eura 

   

komanda koju kopira je :

payload skida sa hcwjcope.poundbahis[.]com/f679d78-ec48-498c-89f3-d5b024edd1a3 ali ovaj poddomen trenutno nema DNS zapis pa nisam uspeo dalje. 

Na https://threatfox.abuse.ch/ioc/1845585/ saznajemo da je ovaj domen kompromitovan:

   

Na jednom forumu neko nudi prodaju pristupa kompromitovanoj državnoj mejl adresi u Srbiji. Nije poznato čija je mejl adresi ni kojoj instituciji pripada :

   

Izvinjavam se ako ovde nije pravo mesto za pokretanje ove teme, zanima me vaše mišljenje za metodologiju:

Radim na projektu Phishing Radar, koji u realnom vremenu prati izdavanje novih SSL/TLS sertifikata i pokušava da prepozna domene koji liče na poznate srpske brendove.
Voleo bih da čujem mišljenje ljudi koji se bave phishingom, threat intelligenceom, domenima ili razvojem sličnih sistema, pre svega o metodologiji detekcije i načinu bodovanja.
Sistem koristi Certificate Transparency podatke preko certstream.calidog.io WebSocket feeda. Svaki novi domen iz sertifikata poredi se sa listom praćenih brendova.
Trenutno je obuhvaćeno 28 brendova iz kategorija kao što su banke, telekomunikacije, državne institucije, kladionice, kurirske službe i energetika.
Za svaki domen izračunava se indikator sumnje od 0 do 100. Trenutni signali i bodovi su:

• domen sadrži ključnu reč brenda: +40
  
• homoglifska zamena karaktera: +50
  
• typosquatting, odnosno jedna ili dve izmene prema Levenshtein distanci: +35
  
• sumnjiv prefiks, poput secure, login, moj ili verify: +25
  
• sumnjiv sufiks, poput login, auth, nalog ili pristup: +25
  
• sumnjiv TLD, poput .xyz, .top, .club, .online ili .site: +15
  
• strani TLD, odnosno domen koji nije pod .rs: +10
  

Domen se prikazuje kao potencijalno sumnjiv kada pređe prag od 30 bodova.
Važno je naglasiti da sistem trenutno ne utvrđuje da je domen zaista phishing. Ne proverava sadržaj sajta, DNS zapise, hosting, WHOIS podatke, reputaciju IP adrese niti da li je domen već prijavljen ili blokiran. To je za sada sistem za rano izdvajanje potencijalno interesantnih domena iz CT feeda, a ne alat koji donosi konačnu presudu.
Trenutna ograničenja su:

• nema trajnog čuvanja podataka
  
• nema deduplikacije domena
  
• nema istorijskog prikaza
  
• nema DNS ili HTTP provere
  
• kratke ključne reči mogu praviti dosta lažnih pozitivnih rezultata
  
• homoglif detekcija ne pokriva sve Unicode varijante
  
• strani TLD trenutno automatski povećava rezultat, što možda nije uvek opravdano
  
• svi signali se sabiraju linearno, bez uzimanja u obzir njihovih međusobnih odnosa
  

Najviše me zanimaju mišljenja o sledećem:

1. Da li su signali koje koristim smisleni za početnu detekciju?
   
2. Da li su bodovi približno dobro raspoređeni ili su neki signali precenjeni?
   
3. Da li je prag od 30 prenizak?
   
4. Da li bi domen koji nije pod .rs uopšte trebalo da dobija dodatne bodove?
   
5. Kako biste rešili kratke nazive brendova poput A1, MTS, EPS ili APR?
   
6. Da li bi Levenshtein distanca trebalo da zavisi od dužine naziva brenda?
   
7. Koje dodatne signale biste smatrali najkorisnijim: starost domena, DNS, MX zapise, ASN, hosting provajdera, sadržaj stranice, favicon, forme za unos kredencijala ili nešto drugo?
   
8. Da li bi bilo bolje koristiti pravila po brendu umesto jedinstvenog sistema bodovanja za sve?
   
9. Kako biste merili kvalitet ovakvog sistema bez kvalitetnog skupa označenih phishing i legitimnih domena?
   

Svaka kritika metodologije je dobrodošla, naročito ako vidite očigledan način na koji bi trenutni model pravio veliki broj lažnih pozitivnih rezultata ili propuštao realne phishing domene.

https://www.youtube.com/watch?v=IwmcRqkfydQ

BANJALUKA – Hakerske prevare u kojima kriminalci presreću poslovnu komunikaciju kompanija i lažnim zahtjevima mijenjaju podatke za uplatu postale su i u BiH dobro poznat oblik privrednog kriminala. 

Nisam ispratio šta se tačno desilo i šta je podelio, navodno neki izveštaj gde se videlo ime i prezime pacijenta kao i ostali podaci vezani za zdravstveno stanje povodom kojeg posećuje doktore iz Belmedic. Nalog doktora je suspendovan sa mreže X posle prijava ljudi koji su primetili problem

   

   

oglasio se i Belmedic :

   

Verovatno kompromitovan neki neažurirani WordPress plug-in...

   

   

Quote:"Kiosk escape" na automatima za kupovinu karata je bezbednosni propust gde neko iskoristi ranjivosti u softveru kioska kako bi "pobegao" iz ograničenog korisničkog interfejsa i dobio pristup osnovnom operativnom sistemu (npr. Windows) i njegovim funkcijama.

Nije poznato da li je automat neko doveo u stanje prikazivanja operativnog sistema ili se desilo usled greške u samom softveru koji je izbacio automat iz režima kioska i prikazao operativni sistem što se često dešava kod ovakvih automata.

   

   

   

   

Quote:"Kiosk escape" na automatima za kupovinu karata je bezbednosni propust gde neko iskoristi ranjivosti u softveru kioska kako bi "pobegao" iz ograničenog korisničkog interfejsa i dobio pristup osnovnom operativnom sistemu (npr. Windows) i njegovim funkcijama.

   

video snimak kako izgleda automat možete pogledati na mreži X ili na redditu