Na euprava.gov.rs stranici Локације за издавање идентитета (/eidlokacije) se direktno ispod HTML headera učitava biblioteka polyfill.min.js sa spoljašnjeg domena polyfill.io. U jeku sve češćih napada lanaca snabdevanja učitavanje spoljašnjih resursa je sve nesrećnija praksa i nažalost se u slučaju polyfill desilo najgore.
Polyfill domen je sredinom 2024. godine kupljen za dodatak zlonamernog koda u istomenoj biblioteci koji je pogodio veliki broj sajtova širom sveta sa preusmerenjima na spam. Stranica na eUpravi koja koristi tu biblioteku je linkovana na glavnim pomoćnim stranicama poput Пријава мобилним телефоном (апликација ConsentID), što uvećava potencijalni broj korisnika izloženih zlonamernoj biblioteci.
polyfill.io je u međuvremenu prestao da opslužuje zlonamernu biblioteku i sada je ceo sajt zaštićen sa HTTP autorizacijom, što posledično dovodi i do zapitkivanja za kombinaciju korisničkog imena i lozinke pri učitavanju eidlokacije stranice.
Pozadina i motivi iza toga se mogu spekulisati, poput mogućnosti kradljivog sakupljanja kredencijala koji se pošalju ljudima iza polyfill.io nakon korisničkog unosa na stranici.
Takođe, od 2024. godine su pojedine organizacije stavile polyfill domen na crnu listu (uBlock Origin, Quad9 [provajderi crnih lista], Fortinet, Cloudflare CDN, itd...), što smanjuje potencijalnu štetu ali i dalje nije sjajno.
Sa druge strane, po VirusTotal bazi maltene nijedan komercijalni antivirus nema polyfill domen na crnoj listi, što je vrlo loše.
Trebalo bi napomenuti da je i sama eUprava stranica najverovatnije zapuštena, jer ne radi Google Maps koji je integralan za samu uslugu stranice i pri tome je obeležena development žigovima.
Quote:Već nekoliko dana, od prošle subote, posjetitelji Nacionalnog parka Plitvička jezera, ulaznice, hotelske i ugostiteljske usluge mogu plaćati isključivo gotovinom. Neke prodavaonice i ugostiteljski objekti u vlasništvu Nacionalnog parka su zatvoreni, a na vratima je na hrvatskom i engleskom jeziku napisana obavijest kako ne rade zbog tehničkih problema.
To izaziva veliko nezadovoljstvo posjetitelja, jer ne mogu kupiti osnovne potrepštine, poput flaširane vode, sendviča, keksa, cigareta, razglednica, suvenira… Smiješne, gotovo nadrealne scene, događaju se na blagajni samoposluživanje gdje gosti sami biraju jela. Kada dođu na blagajnu ondje su dvije osobe od kojih jedna na ručnom kalkulatoru zbraja iznose jela, a druga ispisuje paragon blok, umjesto uobičajenih, printanih računa, koje su gosti ranije dobivali.
4-5 dana sistemi ne funkcionišu... možda ransomware kompromitacija
Zaboravljeni opštinski sajt sajam.vozdovac.rs se akutno zloupotrebljava za fišing u Google pretragama seksi sajtovima i ostalim reklamnim materijalom. Sam sajt se fokusira na sajam koji se desio 2014. godine; moja pretpostavka je da bi sajt verovatno trebalo i ugasiti.
Uzročnik ove ranjivosti (engl. open redirect) je starija WPtouch plugin verzija koja dozvoljava otvorena preusmerenja na bilo kom sajtu uz specifičan URL parametar. Taj problem je rešen u verziji 3.7, međutim ovde je verzija 3.4.10.
Tokom analize domena nkbp.org.rs izvršeno je testiranje sadržaja koji se servira različitim User-Agent identitetima. Posebna pažnja posvećena je proveri odgovora servera prema Googlebot User-Agent-u, što je česta tehnika za otkrivanje SEO spam kompromitacija.
Analizom je potvrđeno da sajt prikazuje različit sadržaj crawlerima u odnosu na regularne posetioce, što predstavlja snažan indikator kompromitacije i SEO spam kampanje.
S obzirom na to da ovakve SEO spam kampanje često prikazuju različit sadržaj pretraživačima u odnosu na obične korisnike, izvršio sam dodatnu proveru simuliranjem pristupa Google crawlera korišćenjem Googlebot User-Agent-a. Takođe sam do analiziranog sajta došao putem Google dorking, koristeći ključne reči vezane za SEO spam aktivnosti na domaćem TLD prostoru, sa ciljem identifikacije potencijalno kompromitovanih domena.
Za tu svrhu upotrebio sam alat curl, kojim sam serveru poslao zahtev identičan onome koji bi poslao Googlebot. Rezultat je pokazao da server vraća potpuno drugačiji sadržaj od očekivanog, uključujući japanske naslove proizvoda, e-commerce elemente i veliki broj generisanih URL-ova, što je predstavljalo snažan indikator kompromitacije i SEO spam aktivnosti.
Izvršio sam preuzimanje sadržaja korišćenjem Googlebot User-Agent-a:
curl -A "Googlebot" https://nkbp.org.rs / > proof.html
Dobijeni HTML sadržaj zatim sam analizirao radi identifikacije potencijalnih indikatora kompromitacije.
Server je vratio sadržaj koji se značajno razlikuje od očekivanog sadržaja sajta. Umesto sadržaja povezanog sa organizacijom NKBP, vraćen je kompletan japanski e-commerce sadržaj. Ovo je tipičan primer SEO cloaking tehnike, gde se pretraživačima prikazuje drugačiji sadržaj od onog koji vide obični korisnici.
U HTML dokumentu pronađeni su elementi poput:
<title>電子 ドラム 卓上 ROLAND TD-11K-S V-Drums 電子ドラム マイクスタンド付き</title>
Kao i veliki broj stranica oblika:
/products/73c4751431407
/products/4fcab51431501
/products/0e7e351645701
što ukazuje na masovno generisane spam stranice namenjene indeksiranju od strane pretraživača.
Primećeno je da stranica prikazuje slike japanskih proizvoda, uključujući elektronsku opremu i druge artikle.
U samom HTML kodu pronađene su reference ka japanskom online shop.
www.komeri{.}com
Sama kompromitacija ne može se sa sigurnošću utvrditi na osnovu dostupnih dokaza. Najverovatniji scenario uključuje iskorišćavanje ranjivosti u CMS platformi ili jednom od njenih pluginova, što je omogućilo napadačima da ubace zlonamerni kod i SEO spam sadržaj.
Druge mogućnosti uključuju zloupotrebu .htaccess konfiguracionih pravila za cloaking na osnovu User-Agent-a ili dinamičko preuzimanje zlonamernog sadržaja sa eksternih servera.
Ali nije WordPress ovog puta
IP: 217.24.19.115 nije eUprava
Ne replicira se univerzalno niti stalno:
Cloudflare i četiri osmice su većinom u redu:
Uskoro opširnije ako potvrdim da je ono u šta sumnjam (DNSSEC veza sa kojom Quad9 ima problem)