Usled open redirect ranjivosti na sajtu eprijave-hrvatiizvanrh.gov.hr mnogi spameru ga koriste za SEO spam da bi podigli neke sajtove u gugl rezultatima...

tu su i sajtovi pornografskog sadržaja :

   

Na guglu je ovim putem indeksirano oko 1000 rezultata :

   

Više detalja na https://anicstudio.com/detalji.php?id=9

Ove automatizovane SPAM kampanje srećom nisu baš maštovite, ne koriste kontekst naloga kojeg su kompromitovali da bi onda skrojili kampanju koja ima smisla nego šalju sa mejla KBC zvezdara a predstavljaju se kao AVLProjekt i još stave neko treće ime u FROM polje...

   

   

prilog je naravno malver :

https://www.virustotal.com/gui/file/a4f7...89317056f7

   

Prvog juna 2026 na urlscan je neko podneo skeniranje ovog sajta iz kojeg se vidi da je bio kompromitovan i verpovatno je širio ClickFix napad :

https://urlscan.io/result/019e8207-da3c-...ansactions

   

Datum kada je ClickFix bio aktivan nije poznat, u ovom trenutku sajt je očišćen od kompromitacije i prikazuje stranice normalno.

Domen sa kojeg je tada tražio da učita ClickFix kôd za prikazivanje je dntds.shop što je isto kao i na hotsport.rs - clickfix na celom sajtu gde je detaljnije opisana ova ClickFix kampanja

Ovaj sajt prikazuje clickfix prevaru, prvo zaista pokaže stranicu sajta pa je onda zamagli i prikaže lažnu captcha stranicu :

   

pa kada se klikne :

   

u klipbord stavlja :

koju AI opisuje kao :

Quote:1. Hidden console opens
2. Mounts remote WebDAV share from attacker's server
3. Downloads/accesses gc.key (malicious DLL)
4. Executes it using rundll32
5. Payload runs (RAT, info stealer, etc.)

---

Ovaj clickfix mi je uzeo dosta vremena za analizu, izuzetno je sofisticiran i upao sam u zečiju rupu...

U kôdu index stranice postoji ubrizgan kôd koji je dobijen sa BSC Testnet blokčejna...

   

Adresa ovog pametnog ugovora https://testnet.bscscan.com/address/0xA1...0baf727d2e

ovaj kôd DeepSeek AI objašnjava ovako :

   

ALI ovaj domen spartanac.let je suspendovan preko mesec dana što znači da ovo nije kôd koji pokazuje trenutni clickfix nego neki prethodni a samo je ostala logika koja ga još uvek ubrizgava u index stranicu ovog sajta.

Download link koji je u ovom kôdu koji nije pravi ClickFix ove stranice je :


primetićete src=fotomedia.hr a to nije ovaj sajt nego drugi sajt koji sam skoro analizirao. To ga povezuje sa tom drugom clickfix kompromitacijom koja ide preko Polygon blokčejna a koristila je isti ovaj domen spartanec.lat : fotomedia.hr - clickfix 

---

Ovo gore je sve besmisleno jer sajt-žrtva uopšte ne izvršava ovaj kôd a i očigledno je pametan ugovor koji se koristio za ovo napušten i nije skoro ažuriran. Ovo je verovatno neka starija i odvojena ClickFix kompromitacija ili je od istih ovih aktera koji su se prebacili na novo.

A to novo je ludo... posle ovoga gore koje se više ne koristi šalje drugi upit na BSC Testnet blokčejn :

   

adresa ovog pametnog ugovora je https://testnet.bscscan.com/address/0x46...91d23383Ff i ovaj je i te kako aktivan.

Odavde učitava kôd za ovu clickfix stranicu koju gledamo na sajtu. Kôd je izuzetno zamagljen i dobija se Base64 enkodiran koji u sebi ima još Base64 enkodovanog sadržaja.

Ostaviću DeepSeeku da objasni šta se dešava  :

Complete Attack Chain Visualization


   

   

---

E sad neke bitne stvari...

1. Odgovor pametnog ugovora od kojeg se dobija kôd u kojem se nalazi i domen sa kojeg skida payload se menja na svakih sat vremena! Svakih 60min dobijamo novi zamagljeni kôd i drugačiji domen. Svaki sajt kompromitovan ovim ClickFixom šalje upit na blokčejn da dobije novi kôd sa domenom+poddomenom odakle skida payload. Domeni su uglavnom registrovani pre nekog vremena i nisu sveži, a poddomen je proizvoljno generisan i mislim da je nebitno šta je samo da je 7 karaktera.
   
2. Starom iskorišćenom domenu se gasi DNS posle tih sat vremena njegovog korišćenja i efektivno više ne postoji - teško ako ne i nemoguće je analizirati bilo šta u ovakvoj situaciji.
   
3. Od domena koje sam ispratio ni jedan nema detekcije na VT niti su generalno ni skenirani preko VT ili URLScan jer su kratkog trajanja a nije moguće skenirati kada je poddomen ugašen.
   
4. Navodno zlonamerni kôd ima jednu detekciju na VT-u. Dobije se mamac payload ako se URL ne otvori na adekvatan način.
   
5. Ovo je izuzetno kompleksan i sofisticiran ClickFix napad dizajniran da se teško može otkriti ili analizirati automatskim metodama.
   

---

Vratimo se na "SMART CONTRACT QUERY" u gornjem opisu lanca napada

"UserID" koji ClickFix skripta šalje na upit pametnom ugovoru je IP adresa posetioca sajta, a odgovor koji dobija je "No" ili "Yes"

Ako je odgovor "No" onda se posetiocu prikazuje lažna Captcha stranica, ako je "Yes" onda se ne pokazuje. Ovo dodatno uverava posetioca da je sve prošlo ok sa "verifikacijom" i da sada može da vidi sajt, veoma lukavo.

Tvorac ovog ClickFixa odnosno automatika koja ga tehnički podržava popunjava ovaj pametan ugovor sa novim IP adresama uređaja koji su uspešno preuzeli payload sa datog URLa da im ne bi i dalje iskakao clickfix na sajtu. 
Zapravo lažna ClickFix stranica nestane čim se skine payload jer u pozadini konstantno šalje upit na blokčejn da li je IP adresa Yes ili No. Ovo tera posetioca da misli da je uspešno odradio "verifikaciju" dok je u stvari pokrenuo malver na svom računaru.

Adresa ovog pametnog ugovora i njegove transakcije: https://testnet.bscscan.com/address/0xf4...a48d80832a

Ovo takođe znači da možemo da vidimo IP adrese uređaja koji su uspešno preuzeli payload! Ali to ćemo pregledati drugi put, LLM mi pravi skriptu da izvlačim te transakcije iz BSC Testneta i IP adrese iz njih.

---

Payload koji se dobije sa adrese ako se pristupi preko pretraživača ili nečeg neočekivanog je potpuno legitiman DLL potpisan sa validnim NVIDIA sertifikatom :

https://www.virustotal.com/gui/file/f110...8e820c98c6

Ali kada se fajl preuzme preko PowerShella kako i očekuje dobije se potpuno drugi fajl :

https://www.virustotal.com/gui/file/99db...?nocache=1

   

---

Complete IOC List


domeni koje sam otkrio koji su se menjali na svakih sat vremena dok sam analizirao ovaj ClickFix :

U nekom nepoznatom trenutku sajt JKP Parking Serviš Niš je imao vandalizovan naslov na glavnoj i još jednoj stranici, Gugl indeksiranje je uspelo da sačuva ovaj artefakt :

   

   

Kompromitovane stranice su bile :

zdravo svima!

ja sam ovdje netehničko lice, po obrazovanju filozof i pedagog, dok sam se bavio aktivizmom primio se na privacy, startup svijet me povukao u cybersec.
suradnik na tri projekta na kojima se razvijaju automatski generatori cybersecurity vježbi (i tehničkih i tabletop).

educiram male firme o važnosti korištenja password managera, produciram neke cybersec materijale za substack, linkedin i instagram. stalno tražim nove alate i sigurne alternative poslovnim alatima na koje se biznisi primaju ko [znate već šta na šta pa da ne prostačim]

veselim se pisanjima i čitanjima ovdje.

zdravi bili!

Neke stranice na sajtu vracar.rs su kompromitovane i prikazuju reklame za sajtove koji prodaju lekove za potenciju kada im se pristupa kao Google bot. Ovo znači da ih gugl tako indeksira i da je cilj da se sajtovi koji su linkovani na kompromitovanim stranicama proguraju u rezultatima kada neko potraži ključne reči koje se nalaze na tim stranicama. Sajt koristi Wordpress CMS i ima neažurirane dodatke...

   

Sama navigacija sajta takođe prikazuje reklamni tekst kada se poseti kao Google bot :

   

Stranice pronađene kompromitovane :

   

   

   

Ako se stranica "građani" poseti sa normalnim user-agentom tako što se u gugl rezultatima klikne na rezultat za stranicu "građani" odnosno otvori se sa referencom gugla u zaglavlju, onda otvori stranicu apoteke, ali ovo se možda ne okida pri svakoj poseti :

   

   

   

Količina raznih JavaScript gluposti koje učitava sajt gradske opštine Vračar je suluda i otvara veliku površinu napada, neki od ovih JS posežu čak iz 2016. godine, a najsvežiji je iz 2022. :

   

Ukratko: GPU razbijac njemacke M4 pomorske enigme u NVidia GPU. Koristio sam nekoliko napada:  Turing-bombe, depth, and plugboard hill-climbing

Opis na engleskom: 
GPU-accelerated (C++/CUDA) cryptanalysis suite that breaks the WWII German naval Enigma M4 cipher, reproducing Bletchley Park's crib-dragging Turing-bombe, depth, and plugboard hill-climbing attacks.


Link Enigma M4 Breaker

Ne bih da objasnjavam, svako je radio sa obicnim web app zna koliko je lose kada najosnovnije nisu u stanju da urade da funkcionise. 
Rijec je o e-servis MUP RS koji je vibecodovan i koji je uklonjen jer je neko objavio https://www.facebook.com/share/p/1E8xdPCrt4/ 

Inace MUP RS ima jedan dio koji nadgleda ko i sta pise po FB (nazalost nasim novcem placeni) i uglavnom love politicke neistomisljenike vladajuce partije. 
Uvjerio sam se nekoliko puta da mi je profil pracen kao i sve sto objavljujemo ovdje. Srecom mi radimo za razliku od njih transparentno a oni nisu u stanju ni to da pohvataju.

Nakon nedavne kompromitacije domaćeg sajta hotsport.rs

Istraživanjem preko platforme Urlscan, identifikovana je još jedna žrtva sa istim šablonom kompromitacije , sajt:

   

Analiza mrežnog saobraćaja i HTTP komunikacije otkrila je prisustvo zlonamernog koda koji korisnike preusmerava na lažne Cloudflare verifikacione stranice sa ciljem inficiranja sistema.

Uočeno je da skripta teme povlači zlonamerni payload sa eksternog domena.



   

   

   

   

Ova operacija koristi specifičnu metodu gde napadači kompromituju legitimne veb-sajtove ili kroz maliciozne reklame mame korisnike na lažne CAPTCHA stranice koje imitiraju Cloudflare verifikaciju ("Proverite da niste bot"). Kada korisnik poseti sajt, maliciozni domen preko


endpointa servira JavaScript payload koji automatski kopira zlonamernu komandu u Clipboard korisnika i navodi ga da je pokrene kroz PowerShell. Sam napad predstavlja kao prvu fazu (loader) za preuzimanje i izvršavanje prikrivenih info-stealer-a, koji služi za krađu lozinki, sesija, kripto novčanika... Potvrđeno je takođe da je i prethodno kompromitovani sajt hotspot[.]rs povlačio identičan payload sa ovog endpointa.

   

   

   

Ostatak sjajne analize clickfix napada se nalazi ovde: https://bezbedanbalkan.net/thread-2599.html