Takođe poznato i kao "NTH Media prevara" (ovo stavljam ovde za gugl da izađe ovaj tekst u rezultatima za taj termin)

Od kad mi je neko blizak prevaren od strane CFM VAS gluposti imao sam ideju da istražim o čemu se tu zapravo radi, danas sam naleteo na reddit objavu koja lepo ilustruje problem sa ovim "uslugama" pa ću objaviti ovde sve šta imam. Razdvojiću u više odgovora ovaj thread, počev od ovog najaktuelnijeg slučaja, tj. reddit teme:

tema sa reddita je: CFM VAS prevara              arhivirano

glavni deo sa reddita je u ovom skrinšotu:

   

CFM je skraćeno od imena firme koja je odgovorna za ovaj sajt, tj. skraćenica od "CONTENT FOR MOBILE" ali o njima ćemo kasnije...

Na reddit temi glavna stvar je ta što kada se preko moblnih podataka Yettel mreže pristupa stranicama za prijavljivanje na CFM "usluge", automatski se popunjava broj telefona koji treba da se pretplati, otkrivajući da je Yettel u koluziji sa CFM prevarantima, ili im omogućava pristup ličnim podacima korisnika u službi olakšavanja obmane i prijave za "usluge".  Ovde se deca na primer lako upecaju, kao i stariji ljudi koji ne znaju šta se dešava, veoma je lako "upecati" se bez predstave šta će zapravo da se desi i da će nešto biti naplaćeno i još da će nastaviti da se naplaćuje mesečno.

O tome sam pisao danas na twitteru ovde tj. preneo sam informacije sa reddit teme i malo proširio priču.

Ovako izgleda prvobitna stranica za prijavu:

   

U analiziranju preko developer tools u browseru sam primetio da u trenutku kliktanja na Nastavi jedan zahtev je poslat na poddomen kod telenordigital.com:

   

ako se ode na telenordigital.com preusmeri na telenorlinx.com gde se vidi da je to neki digitalni servis za provajdere:

   

moguće je da kroz ovo dolazi do deljenje broja telefona sa CFM-ovim sajtom, ali nemam nikakvih konkretnih dokaza.

Ovakvo deljenje podataka od strane Yettela nije nigde pokriveno njihovim njihovim uslovima "Kome prosleđujemo podatke o ličnosti naših korisnika" koji se nalaze na https://www.yettel.rs/sr/o-yettelu/obave...-korisnika tako da em krše zakon em krše sopstvene uslove koje su korisnici prihvatili.

U raznim odgovorima na moj tvit smo dobili snimak kako je sa Yettel mreže broj popunjen a sa drugih nije. Saznali smo da se isto dešava i na drugim provajderima,

Gledajući Pravilnik o obavezama operatora usluga sa dodatnom vrednošću dolazimo do toga da su prekršeni sledeći:

Quote:Član 13 - Najava cene poziva, početak naplate i naplata Usluge
Kod pružanja Usluga koje se ostvaruju slanjem/primanjem poruka, operator Usluge ima sledeće obaveze:
1) slanja poruke korisniku Usluge, a pre aktiviranja usluge, kojom se korisnik obaveštava o ceni Usluge (uključujući i informaciju o naplati troškova slanja same poruke), učestalosti primanja poruka i načinu prekida korišćenja Usluge;

3) aktiviranja usluge tek nakon što korisnik Usluge potvrdi nameru korišćenja usluge slanjem odgovarajuće poruke i potvrdi da je saglasan sa uslovima pružanja Usluge;

Ovde bi za #1 verovatno napravili argument da sve piše na stranici za prijavu, ali da li je to "slanje poruke korisniku"? Za #3 nemaju argument, jer se ne šalje nikakva poruka nego se klikom na sajt automatski naplaćuje usluga i korisnik prijavljuje, što je u suprotnosti sa pravilnikom

Quote:Član 16 - Sadržaj oglasa za Uslugu
Uz svaki oglas za Uslugu objavljen u javnim glasilima potrebno je objaviti naziv, punu adresu sedišta i matični broj Operatora Usluge, kao i telefonski broj za kontakt sa Operatorom Usluge koji ne sme biti iz kategorije brojeva sa dodatom vrednošću.

Jedini kontakt je "kontakt za podrsku pruzanju usluzi: 0113216892 ili gamecraze.rs @ silverlines.info" što ne sadrži ni adresu ni matični broj.

Quote:Član 21 - Zaštita maloletnika
2) uključivanje, pre početka pružanja Usluge, izjave da Usluge pružaju sadržaj isključivo namenjen odraslima (npr. "Ako imate manje od 18 godina, a nemate dozvolu roditelja/staratelja, odmah prekinite poziv");
3) utvrđivanje starosti korisnika pre početka pružanja Usluge (npr. potvrda starosnog statusa korisnika - maloletnik mlađi od 12 godina, maloletnik mlađi od 16 godina, punoletna osoba).

Ovo ni u jednom trenutku nije ispoštovano

Dolazimo do toga da imamo mnoštvo prekršaja, od protivzakonitog deljenja podataka o ličnosti od strane Yettela, do kršenja samog pravilnika o ovakvim uslugama od strane CFM-a i njihovog omogućavatelja u Srbiji... u sledećoj poruci pišem o akterima ove obmane...

Izvor: https://twitter.com/alexxsegedi/status/1...4270041089, arhivirano: https://archive.ph/Uw5MW.



Ispravan link je ovde: https://www.purs.gov.rs/biro-za-informis...inara.html

Quote:U utorak, 21. Marta u 19h u DC Krovu

Ucimo kako da citamo izvorni kod Android aplikacija.

Pokazacemo alate potrebne za generisanje izvornog koda iz date aplikacije.

Link: https://forum.dmz.rs/t/andorid-reverse-engineering/97

Quote:Iz Nacionalnog centra za odgovor na računarsko bezbjednosne incidente (CIRT) saopštili su da su mogući sajber napadi tokom predstojećih izbora i da će preduzeti sve mjere iz svoje nadležnosti da eventualne napade spriječe, u koordinaciji sa državnim institucijama, privatnim sektorom i međunarodnim partnerima.

Ukazuju da je primjetan trend rasta DDoS napada u toku važnih političkih dešavanja na našim prostorima, ali i na globalnom nivou. Shodno tome, ističu, neophodno je dodatno povećati nivo zaštite servisa u državnim institucijama, medijskim kućama, kao i u organizacijama koje se bave praćenjem izbornih procesa.

DDoS napad (Distributed Denial of Service) ima za cilj da onemogući krajnjim korisnicima korišćenje određenog servisa (pristup veb portalu, praćenje rezultata izbora, i slično), slanjem velikog broja zahtjeva. Ovakvi hakerski napadi su rado korišćena alatka onih koji ne žele da određeni sadržaj dođe do šire javnosti, napominju iz CIRT-a.

Link: https://www.vijesti.me/vijesti/drustvo/6...kom-izbora

Da se podsetimo i neobjašnjenih napada na resurse Vlade Crne Gore: https://bezbedanbalkan.net/thread-67.html. Ako imate više informacija molim Vas podelite (vezano za obe teme).

Quote:Organized by the Global Investigative Journalism Network

Deadline: March 27th at midnight EDT

Our interconnected world means that digital threats impact just about every beat and area of coverage. Disinformation, trolling, malware, spyware and other forms of digital deception and tracking target the public and newsrooms more than ever before.

In this training course, reporters from around the world will learn how to investigate the digital environment in order to understand and expose attacks and manipulation. The goal is to provide them with the expertise needed to deliver cyber investigations across a range of beats and topics.

Link: https://gijn.org/2023/02/24/cyber-training/

Prateći tragove iz ove teme (https://www.abuseipdb.com/check-block/79.101.45.94/2) indetifikovao sam da je i bpa.edu.rs (Beogradska akademija poslovnih i umetničkih studija) izgleda takođe kompromitovana. IP: 79.101.45.110, zemlja Srbija, provajder Telekom.

Ako ukucamo IP 79.101.45.110 na Sodan, dobijemo hostname bpa.edu.rs: https://www.shodan.io/host/79.101.45.110.
Zatim ubacimo IP na AbuseIDDB i dobijemo nekoliko abuse prijava, koje idu od skeniranja portova do bruteforce napada: https://www.abuseipdb.com/check/79.101.45.110.

Quote:U ponedeljak, 20. Marta u 19h u DC Krovu

Ucimo o LDAP protokolu koji se cesto koristi za cuvanje podataka o korisnicima na serveru.

Pokazacemo OpenBSD-ov program za LDAP server i python biblioteke koje se cesto koriste za upravljanje LDAP bazom.

Link: https://forum.dmz.rs/t/ldap-protokol-radionica/95

Izgleda da su resursi i ove državne ustanove neadekvatno zaštićeni i da se zloupotrebljavaju već duže vreme. Došao sam do ovoga istraživajući incidente vezane za MojDoktor: 

- Prvo sam ukucao na Google: "mojdoktor sorsix", jer samo već videli da ima testing lokacija kompanije koja je izradila MojDoktor aplikaciju i ideja mi je da proverim da li se i one pojavljuju na spam/malware listama (nisam sve još istražio, ako imate vremena molim vas pogledajte i vi)

- Onda među rezultatima došao sam do ove indexirane prezentacije: "ДИГИТАЛНА ТРАНСФОРМАЦИЈА ЗДРАВСТВЕНОГ СИСТЕМА СРБИЈЕ
ПРОФ.ДР ФЕРЕНЦ ВИЦКО", i u njoj sam video na slici ekrana adresu: hbdev.nites.rs.

- IP adresa gde vodi hbdev.nites.rs je 79.101.38.238. Provajder je Telekom Srbija.

- Zatim sam sam u AbuseIPDB pretražio 79.101.38.238/24 i dobio kao rezultat IP adrese: 79.101.38.74, 79.101.38.75, 79.101.38.185, 79.101.38.186, 79.101.38.210. Provajder je Telekom Srbija. Za ovaj slučaj interesantne su nam adrese: 79.101.38.74, 79.101.38.75.

- Detalji na AbuseIPDB za adresu 79.101.38.74 pokazuju incidente počevši od Aprila 2022. do Februara 2023. godine uključujući skeniranje portova i bruteforce karakteristike napada.

- Detalji na AbuseIPDB za adresu 79.101.38.75 pokazuju incidente počevši od Septembra 2022. godine i traju i dalje, uključujući skeniranje portova i bruteforce karakteristike napada.

- Zatim ako IP 79.101.38.74 / 79.101.38.75 ubacimo u Shodan / Shodan, dobijemo hostname: entjuba.rs, utm.entjuba.rs, autodiscover.entjuba.rs, mail.entjuba.rs. Tj. veb prezentacija i mejl server "Energotehnika Južna Bačka".

Detalji sa AbuseIPDB:





Detalji sa ShodanIO:

Izgleda da su resursi i ove državne ustanove neadekvatno zaštićeni i da se zloupotrebljavaju već duže vreme. Došao sam do ovoga istraživajući incidente vezane za MojDoktor: 

- Prvo sam ukucao na Google: "mojdoktor sorsix", jer samo već videli da ima testing lokacija kompanije koja je izradila MojDoktor aplikaciju i ideja mi je da proverim da li se i one pojavljuju na spam/malware listama (nisam sve još istražio, ako imate vremena molim vas pogledajte i vi)

- Onda među rezultatima došao sam do ove indexirane prezentacije: "ДИГИТАЛНА ТРАНСФОРМАЦИЈА ЗДРАВСТВЕНОГ СИСТЕМА СРБИЈЕ
ПРОФ.ДР ФЕРЕНЦ ВИЦКО", i u njoj sam video na slici ekrana adresu: eapoteka.mojdoktor.gov.rs.

- IP adresa gde vodi eapoteka.mojdoktor.gov.rs je 212.200.188.116. Provajder je Telekom Srbija.

- Zatim sam sam u AbuseIPDB pretražio 212.200.188.116/24 i dobio kao rezultat IP adresu: 212.200.188.121. Provajder je Telekom Srbija.

- Detalji na AbuseIPDB za adresu 212.200.188.121 pokazuju incidente počevši od Marta 2021. do Marta 2023. godine uključujući skeniranje portova, ddos i bruteforce karakteristike napada.

- Zatim ako IP 212.200.188.121 ubacimo u Shodan, dobijemo hostname: idp.esdnevnik.rs.

- Ako pretražimo idp.esdnevnik.rs na Google vidimo da to je login na elektronski dnevnik.


Rezultati sa AbuseIPDB:




Rezultati sa ShodanIO:



Rezultati sa Google:

Izgleda da je kompromitovan newlinemontenegro.com. IP: 95.216.112.181, zemlja Finska, provajder: Hetzner Online.

VirusTotal: https://www.virustotal.com/gui/url/c9da2.../detection