Nije baš adekvatno za ovaj potforum, ali je interesantno zapažanje tako da mi je ovaj potforum najbliži za pogrešnu konfiguraciju.
Primetio sam da je na eps.rs važna biblioteka jquery-ui.js "veštački" dogurana do 1MB sa null karakterima. Usled ogromne količine takvih karaktera, pretraživač i curl tu datoteku smatraju za binarnim fajlom.
https://www.eps.rs/_catalogs/masterpage/SNABDEVANJE/Design/js/jquery-ui.js## ---- Veličina datoteke (1MB)
# curl -sI 'https://www.eps.rs/_catalogs/masterpage/SNABDEVANJE/Design/js/jquery-ui.js' | grep -i Content-Length
content-length: 1040200
## ---- Količina null karaktera
# curl -s 'https://www.eps.rs/_catalogs/masterpage/SNABDEVANJE/Design/js/jquery-ui.js' | grep -c $'\000'
538785
Ovakva bizarna veličina naravno utiče i na brzinu TTFP, tako da je bez keša u pretraživaču Receiving strana dosta lošija nego ostala statika do 1 sekund čekanja. Takođe, sa njihove strane se ne vraća kompresovana statika (ni gzip, a kamoli brotli ili zstd) što je dodatna otežavajuća okolnost.
Ne znam kako je uspeo ovakav fajl da se provuče, ali sam uveren da nije namerno.
Jedino što je ovaj put interesantno jeste što po brzom pogledu ovo nije poznati CMS nego neko njihovo rešenje, tako da je način upada raznovrsniji. Možda direktno na server nekako?
Sajt je iza Kancelarija ITE 195.222.98.253 BigIP load balancera kao i dosta ostalih sajtova.
# dig kutak.suk.gov.rs A @1.1.1.1 +short
195.222.98.253
Pogođena stranica. Za kalkulator na toj stranici se koristi Livewire kao i POST ruta livewire/update, možda je i to važan detalj za izvor upada.
https://kutak.suk.gov.rs/kalkulator-platecurl -A Googlebot 'https://kutak.suk.gov.rs/kalkulator-plate'
Danas je pušten u rad sajt kosibreti.rs koji bi trebalo da služi kao "siguran kanal za prijavu bahatosti javnih funkcionera, korupcije i zloupotreba"
Na samom početku je imao neki problem sa slikama :
Tokom dana je bilo puno komentara po društvenim mrežama da jednostavno nije moguće podneti prijavu na sajt :
Trenutno deo sajta koji služi za podnošenje prijava uopšte ne radi :
Grupa Deadlock je objavila podatke firme Eko-Flor Plus d.o.o. iz Hrvatske.
Objavili su oko 122GB podataka :
Pre manje od mesec dana ova firma se našla među Fortibleed podacima: Fortibleed - kompromitovani uređaji u regionu
DNS serveri Informatike a.d. imaju problema sa komunikacijom sa Cloudflare anycast 1.1.1.1 resolver, ali naizgled ne u globalu, već sa određenim nodeovima / serverima. Iz Srbije ako putanja ide do Cloudflare lokacije BEG, deluje da je statistika neuspeha 100%.
1.1.1.1 node u problemu sa komunikacijom vraća SERVFAIL kod za neuspeli upit, a ukoliko je EDNS0 funkcionalnost uključena, vratiće i EDE kod 22 No reachable authority.
Kombinacije UDP/TCP i bez EDNS/sa EDNS ne utiče na uspeh upita.
Quote:; <<>> DiG 9.20.23-1~deb13u1-Debian <<>> 41741ed8-86b4-407c-989d-7878dc6ad87d.ns.infosky.net TXT @1.1.1.1
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 58914
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
; EDE: 22 (No Reachable Authority): (at delegation infosky.net.)
DNS serveri:
ns.infosky.net
nss.infosky.net
ns.informatika.comPresek stanja po Cloudflare lokacijama.
Quote:BEG (lokalno, Telekom Srbija): 5/5 SERVFAIL (100%)
SEA (East US VPS): 1/5 SERVFAIL (20%) [ponekada i 0/5 SERVFAIL]
AMS (Amsterdam VPS): 1/5 SERVFAIL (20%) [ponekada i 0/5 SERVFAIL]
Za potrebe testiranja sam koristio nasumično generisane poddomene kako bi se isključila mogućnost pozitivnog ili negativnog keširanja. Deluje da je u pitanju problem firewalla ili rutiranja čim je ovakvo polovično stanje, a AMS/SEA verovatno ima dosta više raspoloživih servera nego BEG pa su sa time i veće šanse da dođe sa druge, neproblematične adrese.
1.1.1.1 se korisnički dosta koristi i ovi infosky nameserveri koji su pogođeni ovim problemom komunikacije se koriste za poslovne klijente, tako da bi trebalo videti u čemu je problem.
stamparijabis.rs je kompromitovana da na sledećoj putanji sadrži "index" preuzimanja navodnih WordPress plugina i tema sa očigledno napumpanim brojkama i statistikama zarad potencijala varanja pri pretrazi za preuzimanje legitimnih resursa.
hxxps://www.stamparijabis.rs/repository-home/Sajt je na tekuće najnovijim WordPress 7.0.1 + WooCommerce 10.9.4.
<meta name="generator" content="WordPress 7.0.1" />
<meta name="generator" content="WooCommerce 10.9.4" />
Tema je nešto starija Flatsome 3.20.1 koja je izašla krajem 2025. godine.
Quote:<link rel='prefetch' href='https://www.stamparijabis.rs/wp-content/themes/flatsome/assets/js/chunk.slider.js?ver=3.20.1' />
Krajem aprila 2026. (nakon kompromitacije ovog sajta u martu) je izašla verzija 3.20.6 sa generičnom objavom da je poboljšana sigurnost i da se preporučuje ažuriranje.
Quote:--- 3.20.6 (20.04.26) ---
FIXED: Instagram Feed: Missing closing quote on follow link target attribute.
Note: This release contains an enhanced security measure. We recommend updating your sites promptly for optimal protection.
Imaju jako puno sporednih nezvaničnih plugina za WooCommerce, neke od kojih na prvu teško i nalazim, neki su i ažurirani.
Sajt se hostuje na DreamWeb shared hostingu host121.dwhost.net - 167.235.88.219.
# dig stamparijabis.rs A @1.1.1.1 +short
167.235.88.219
# dig -x 167.235.88.219 @1.1.1.1 +short
host121.dwhost.net.
Primeri linkova:
hxxps://www.stamparijabis.rs/repository/nature-spa-massage-elementor-template-kit/
hxxps://www.stamparijabis.rs/repository/loginpress-login-redirect/
hxxps://www.stamparijabis.rs/repository/event-calendar-php-mysql-plugin/
hxxps://www.stamparijabis.rs/repository/pepe-building-construction-business-services-elementor-template-kit/
hxxps://www.stamparijabis.rs/repository/haud-a-creative-portfolio-theme/
hxxps://www.stamparijabis.rs/repository/oktilcal-eye-care-wordpress-theme/
hxxps://www.stamparijabis.rs/repository/network-merchants-collect-js-payment-gateway-for-woocommerce/
hxxps://www.stamparijabis.rs/repository/themify-post-type-builder-search/
hxxps://www.stamparijabis.rs/repository/fashion-store-hanbags-shoer-rtl-responsive-woocommerce-wordpress-theme/
hxxps://www.stamparijabis.rs/repository/clever-woocommerce-ajax-product-filter/
hxxps://www.stamparijabis.rs/repository/moge-motorcycle-repair-service-elementor-template-kit/
hxxps://www.stamparijabis.rs/repository/artchi-modern-architecture-elementor-template-kit/Sve "objave" su naizgled kreirane 9. marta 2026. godine i svi do jednog zapravo preuzimaju malver fajlove sa depo287[.]com.
depo287[.]com domen je registrovan krajem februara 2026. godine u Turskoj i Cloudflare je po običaj u jednačini.
Taj domen koji hostuje malver fajlove je od ranije poznat u zlonamernim bazama.
Same datoteke su slično tako isto od ranije poznate policijikompanijama kao PHP trojan backdoor/webshell.
VT Hash: 7fdbc6c009cf58c1214ebacf7cdeaf644a5913eaa6a8e0e783e951a40e04e2f0
VT Original name: woocommerce-order-tracker.zip
Zlonamerni akter je podelio sample baze, u kojem se jasno vide sledeće kolone:
ID","user_login","user_pass","user_nicename","user_email","user_url","user_registered","user_activation_key","user_status","display_name"
Sajt "Здружение Македонски комитет за големи брани" je na više načina kompromitovan.
1. ClickFix isti kao na video-studio-vrbanus.hr - pronađen izuzetno sofisticiran ClickFix na sajtu
2. Japanski SEO spam indeksiran na guglu :
3. Ako se ne upali ClickFix glavna stranica preusmerava na neki spam,
Probalo je da me preusmeri na profitablecpmratenetwork[.]com