Prema ThreatFox, uočen je domen sa kojeg se širi malver. Drugi indikatori sa VirusTotal potvrđuju da je sajt kompromitovan.
https://threatfox.abuse.ch/ioc/1977654/
https://www.virustotal.com/gui/domain/os.../detection
Pre deset dana, neko je analizirao sajt i na snimku ekrana možemo videti da se pojavljuje lažna captcha.
https://urlscan.io/result/01a15c63-632f-...347b3831b/
Zanimljivo je da veb-sajt škole prilikom posete u pozadini pokreće komunikaciju sa domenom koji predstavlja C2 server. Ovaj server prosleđuje malicioznu skriptu koja simulira CAPTCHA verifikaciju. Kada korisnik prekopira i pokrene tu komandu u PowerShell-u, odmah se aktivira infostealer koji krade lozinke, sesije i druge podatke iz pretraživača.
https://www.virustotal.com/gui/domain/in...at/details
U normalnom funkcionisanju sajt 021.rs učitava legitimnu skriptu za skraćivanje teksta koja se zove dotdotdot i učitava se sa https://www.021.rs/application/js/dotdotdot.min.js
Neko je nepoznatim putem ubrizgao dodatni sadržaj na kraj ovog fajla koji služi da na sajtu prikazuje nelegitimne reklame. Do ubrizgavanja je moglo doći kompromitacijom nekih kredencijala koje imaju pristup sajtu da menjaju fajlove ili preko ranjivosti na nekom dodatku na sajtu koji je omogućio ubrizgavanje u dotdotdot.min.js fajl
Ova skripta je ciljani učitavač udaljenih skripti i funkcioniše ovako prema AI analizi:
- Proverava da li posetilac učitava sa Android 16 uređaja, sve ostalo ignoriše, ovo je namerno ciljano da bi smanjilo mogućnost pronalaska jer se neće prikazivati na desktopu ni na svim mobilnim uređajima.
- Učitava eksternu skriptu sa baggymaintenance[.]com
- Postavlja `referrerPolicy = 'no-referrer-when-downgrade'`, tako da napadačev server pouzdano saznaje sa koje stranice je posetilac došao.
- Skripta se ubacuje nečujno, pre poslednje skripte na stranici, uz upotrebu atributa `async`, tako da se rad stranice primetno ne usporava.
Eksterna skripta koju prva skripta učitava radi sledeće, prema AI analizi
Učitava sa :
https://baggymaintenance[.]com/cRDg9_6mb.2Q5HlxSWWmQv9oNaj/km0/NoTTcB4SNaS/0I2EO/T/Qw1PNyzegJ5G
baggymaintenance[.]com has address 88.85.68.219Quote:Ova skripta je agresivan sistem za iskačuće reklame. Napadač je ubacio na sajt da bi zarađivao od posetilaca, verovatno bez znanja 021.rs
Šta radi posetiocima:Kako se skriva i štiti:
- Kada posetilac klikne bilo gde na stranici, otvara mu se nova kartica sa reklamom, najčešće sumnjivog sadržaja. Ovo se dešava do 3 puta na sat, uz razmak od najmanje minut.
- Preko video snimaka i drugih ugrađenih sadržaja postavlja nevidljivi sloj. Kada posetilac pokuša da pusti video, zapravo klikne na reklamu.
- Nakon otvaranja reklame vraća stranicu na mesto gde je posetilac bio, da ne bi primetio šta se desilo.
Šta šalje napadaču:
- Proverava da li posetilac koristi blokator reklama (AdBlock, uBlock i slične) i javlja napadaču koji je pronašao, kako bi ga zaobišao.
- Isključuje druge, konkurentske skripte za reklame, da bi samo ona zarađivala.
Zašto je opasno:
- Adresu stranice koju posetilac gleda, odakle je došao, na koji link je kliknuo i podatke o uređaju i pregledaču.
U samom kodu nisam video krađu lozinki ili podataka iz formulara. Ipak, skripta učitava dodatni kod sa drugog sajta (humming-ruin[.]com), pa napadač u svakom trenutku može da promeni šta ona radi. Reklame koje ovakve mreže prikazuju često vode na prevare, lažna „ažuriranja“ telefona i zaražene aplikacije.
Ukratko: sajt je zloupotrebljen da bi Android posetioce bombardovao reklamama i pratio ih. Sajt treba očistiti, promeniti sve lozinke za pristup i pronaći kako je napadač ušao.
Ta skripta dalje učitava još jednu skriptu sa humming-ruin[.]com, ova skripta radi sledeće prema AI analizi:
Učitava sa:
https://www.humming-ruin[.]com/eda437/ef5bcf4e7a7f.js
www.humming-ruin.com is an alias for cdn54405831.ahacdn.me.
cdn54405831.ahacdn.me has address 45.133.44.1
cdn54405831.ahacdn.me has address 45.133.44.2Quote:Ovo je „motor“ koji fizički otvara iskačuće reklame. Prethodna skripta je odlučivala kada i koliko često se reklama prikazuje. Ova odlučuje kako da se prozor sa reklamom otvori tako da ga pregledač ne blokira. U pitanju je komercijalni alat za „pop-under“ reklame (popunderjs.com), koji napadači ovde zloupotrebljavaju.
Šta radi:Kako se skriva:
- Prepoznaje koji pregledač i uređaj posetilac koristi (Chrome, Firefox, Safari, Edge, Opera, telefon ili računar), pa za svaki bira poseban trik za otvaranje reklame.
- Zaobilazi zaštitu pregledača od iskačućih prozora. Reklamu otvara u novoj kartici, u prozoru koji se sakrije iza trenutne stranice ili u sićušnom prozoru van ekrana, tako da posetilac često ne primeti da se nešto otvorilo.
- Prati klikove i dodire posetioca, jer pregledači dozvoljavaju otvaranje prozora samo posle klika. Zato se reklama otvara baš kada kliknete na nešto sasvim drugo.
- Pamti u pregledaču koliko je reklama već prikazano i kada.
Opasnost: u ovom delu nema krađe lozinki ili ličnih podataka. Njegova uloga je da posetiocima vašeg sajta nametne reklame koje oni nisu tražili i koje često vode na prevare ili zaražene aplikacije. Ovo je i štetno za ugled vašeg sajta: pretraživači i antivirus programi mogu da ga označe kao opasan.
- Kod je namerno teško čitljiv.
- Proverava da li ga neko analizira ili je izmenjen, i tada menja ponašanje.
- Radi samo ako je pokrenut sa „dozvoljenog“ domena (humming-ruin[.]com), a ima i licencu koja ističe krajem novembra 2026.
Ukratko: sve tri skripte zajedno čine lanac. Ubačeni kod na sajtu poziva baggymaintenance[.]com, a on poziva humming-ruin[.]com, koji otvara reklame. Rešenje ostaje isto: očistiti sajt, promeniti sve pristupne lozinke i otkriti kako je kod ubačen.
Jedna od reklama koja mi je iskočila:
Prema ThreatFox, uočen je domen sa kojeg se širi malver. Drugi indikatori sa VirusTotal potvrđuju da je sajt kompromitovan.
https://www.virustotal.com/gui/domain/po.../detection
Danas se na jednom forumu pojavila navodna baza korisnika Orion Telekom usluge. Akter tvrdi da je to "Orion Telekom WiFi" ali u uzorku koji je akter postavio ima i korisnika GPON tehnologije, ovo je verovatno samo ime firme jer jeste pravno lice "Orion Telekom WiFi" stajalo iza usluge sve dok ga Telekom Srbije nije kupio. Ovo podaci i korisnici su zapravo vlasništvo Telekoma Srbije te se ova kompromitacija tiče i njih.
Akter piše da baza sadrži 302,508+ zapisa od 2020-2026 i da se sastoji od sledećih podataka:
Ime i Prezime:
Korisničko ime:
Br tel:
Grad:
Opština:
Naselje:
Ulica:
Kućni br:
S. saradnik:
Vrsta posla:
Tehnologija:
Status posla:
Zakazano za:
Zakazano napomena:
Kreiran:
Operater:
OLT:
Postojeća lokacija:Po specifikaciji baze ovo liči na bazu instalacije usluga na lokaciji korisnika što je veoma slično onome što se ranije u godini desilo Telekomu odnosno njihovoj m:Sat ponudi: Kompromitovana baza zahteva za "m:SAT TV" usluge Telekoma Srbije
Akter preti objavljivanjem podataka ako se ne dogovori sa žrtvom. Ovo je isti akter koji je skoro kompromitovao Triglav i Sava osiguranje. Do sada i pored pretnji nije objavio podatke ni za jednu žrtvu.
Danas mi je neko na X-u poslao ovaj skrinšot sumnjive privatne poruke koju su primili, uz pitanje da li je neki malver...
Poruka je stigla sa naloga @GordanaPajic777
arhiviran profil: https://archive.is/Vbyg3
Profil User ID: 1915853008472059904 napravljen 25. aprilu 2025, navodno iz BiH:
Da se vratimo linku koji je bio home-purchase[.]com/kricak-tacna.htm, otvaranjem linka dobije se vizuelno prazna stranica sa metapodacima koji se koriste da bi se prikazala slika zajedno sa linkom i tekstom na mreži X :
E sad ovo ne znači da tu zaista i nema ničega nego da možda nisu ispunjeni neki uslovi da bi nam servirali sledeću fazu. Druga mogućnost je da ovaj fišing služi da se dobije IP adresa onoga kome se šalje ako klikne.
Sajt postoji od 25-04-2025, što je isti dan kada je napravljen i taj nalog na mreži X.
DNS od tog datuma do danas izgleda isto i upućuje na server u Austriji...
home-purchase.com has address 158.255.209.74Sajt se od tog datuma koristi za ovakav fišing, bez nekih vidljivih promena :
Tu dolazimo i do drugog linka korišćenog preko ovog domena, a to je home-purchase[.]com/ministar-sa-maloletnicom-u-valjevu.html
Na ovom linku tada nije bilo ništa što pokazuje skeniranje urlscan a metapodaci koji su se verovatno tada učitavali se zapravo i danas nalaze na root-u domena :
Tema koja se koristi je ista, navodni sočni podaci o nekom ministru ili osobi bliskoj SNS-u, u nadi da će iz radoznalosti onaj kome je poslato da klikne. Uz link se u poruci pojavi i zamagljena slika da dodatno probudi radoznalost.
U nekom trenutku je postojao i m.home-purchase[.]com koji je ovaj sken urlscanom preusmerio na rickroll ali šta je zaista radio ne znamo:
Da se vratimo na X nalog, ovaj sumnjivi nalog je od samog početka postojanja pokušavao da natera ljude da kliknu na link, što se vidi iz javnih odgovora koji su poslati određenim nalozima na X-u odmah po formiranju naloga i sajta. Ovde je očigledno išao mamac ministra sa maloletnicama :
Pratioci i praćeni od ovog naloga, izvesno je da su ovi nalozi bili ciljani istom šemom:
Ovo su zamagljene slike korišćene za te dve otkrivene "vesti" :
10-21-2026, 10:52 PM
Forum: Odgovor na incidente i svest o bezbednosti
- No Replies
Botovska mreža od 332 naloga na Iksu za 12 dana izborne kampanje objavila gotovo 40.000 poruka, prvenstveno promovišući Aleksandra Vučića. Botovi su više napadali N1 i Novu nego Vučićeve političke protivnike, što sugeriše da nezavisno novinarstvo smatraju većom pretnjom po vlast, pokazuje istraživanje organizacije BFMI i Univerziteta Klemson
Double Attack How a Coordinated Network Promotes Aleksandar Vučić and Undermines Independent Media in Serbia’s 2026 Election Campaign Serbia Election Monitoring Report - October 2026
direkt PDF
Nalozi 021.rs na Fejsbuku i Instagramu pod udarom botova, pod napadom i sajt
Quote:Nalozi portala 021.rs na Fejsbuku i Instagramu u poslednjih nekoliko dana nalaze se na udaru lažnih profila koji su počeli masovno da prate stranice medija.
Instagram nalog agencije Beta pod hakerskim napadima
Quote:Instagram nalog agencija Beta našao se večeras pod hakerskim napadom kojim je pokušano da se na neko vreme onesposobi emitovanje preko te društvene mreže.
Instagram nalog portala Glas Šumadije, nalazi se pod napadom poslednjih nekoliko sati.
Quote:Nakon objavljivanja video snimak radnika Kolubare koji su danas stali uz studente, koji su iz Gornjeg Milanovca i Valjeva krenuli pešaka za Beograd, na našem profilu primetili smo priliv velikog broja pratioca.
Instagram profil „Vremena“ pod udarom botova
Quote:Za oko pola sata naš Instagram nalog zapratilo je oko 200 naloga
Novi botovski napadi na nezavisne medije i kritičare vlasti: Na udaru Cenzolovka, Vreme, Razglas njuz, Crta i drugi
Quote:Instagram nalozi portala Cenzolovka i Zbor Zvezdara našli su se na meti, kako navode, botovskih napada, a slične aktivnosti primetili su i profili Crte, nedeljnika Vreme, portala 021.rs, Autonomija.info, Voice i Razglas News, kao i agencija Beta. Cilj je da se lažnim prijavama ugase profili nezavisnih medija.
Zlonamerni akter tvrdi da je kompromitovao sistem kompanije Sava Osiguranje, jednog od većih osiguravajućih društava u Srbiji i izvršio eksfiltraciju baze podataka koja sadrži osetljive informacije o klijentima i osiguranicima.
Prema navodima aktera, kompromitovani podaci obuhvataju JMBG, poreske identifikacione brojeve, kontakt podatke, adrese stanovanja, informacije o polisama osiguranja, podatke o agentima i poslovnicama, datume ugovora, kao i finansijske podatke, evidenciju uplata i informacije o neizmirenim obavezama.
Zlonamerni akter preti javnom objavom navodno ukradene baze podataka 23. oktobra 2026. godine, ukoliko sa kompanijom ne bude postignut dogovor o trajnom brisanju podataka i sprečavanju njihove objave.
Ukoliko su navodi tačni, incident bi mogao dovesti do ugrožavanja privatnosti korisnika, krađe identiteta, ciljanih fišing napada i finansijskih prevara.
Kolone u bazi:
PolisaBr Proizvod PolisaStatus ZastupnikId Ekspozitura PunoImeZastupnika ZastupnikIdOrig EkspozituraOrig PunoImeZastupnikaOrig DatSklapanja DatPocetak DatKraj
TipUgovaraca SpnftRizik PunNaziv Pol JmbgIliMb Pib Mobilni Fiksni Email Adresa Mesto Naselje Opstina Posta Valuta Fakturisano Naplaceno Duguje BrojRataUDugu
BrojMeseciUDugu Pretplata Rata NacinPlacanja VrstaPlacanja PoslednjaUplata Iznos BrOpomena1 DatumPoslednjeOp1 BrOpomena2 DatumPoslednjeOp2 ArrearParametar
ImaDospeceTekuciMesec ImaDospeceSledeciMesec BrojMeseciOdPocetka BrojMeseciUGodini BrojPoslatihSms BrojPoslatihEmail BrojPoslatihPismo1 BrojPoslatihPismo2
BrojPoslatihStorno
IP adresa 5.252.236.98 koja je registrovana u okviru provajdera MSAT Inženjering DOO (AS209130), povezuje se sa sumnjivim i potencijalno zlonamernim aktivnostima.
Prema dostupnim podacima sa platformi za praćenje sajber-pretnji, zabeležene su aktivnosti koje uključuju automatizovano HTTP skeniranje, brute-force pokušaje prijave, napade na WordPress XML-RPC, pokušaje iskorišćavanja ranjivosti i HTTP DoS napade.
Pretpostavljam da je uređaj koji koristi ovu IP adresu kompromitovan i da se koristi za izvršavanje automatizovanih napada na druge sisteme.
https://app.crowdsec.net/cti/5.252.236.98
https://www.abuseipdb.com/check/5.252.236.98