TLS sertifikat istekao: Fri, 18 Feb 2022 23:59:59 GMT
U kodu se može videti skrivena reklama za rolex, slede screenshotovi:
i jedan link ka reklami:
hxxps[:]//www[.]obnova[.]gov[.]rs/codeigniter/application/language/english/paul-newman-rolex-replica-for-sale[.]html
U izvornom kodu web sajta pss.rs (Planinarski savez Srbije) mogu se videti skrivene reklame za Rolexe. Web sajt je hostovan na IP: 185.119.88.139, zemlja Srbija, provajder United.rs.
IP se spominje i na drugim lokacijama sa malicioznim indikatorima, npr: https://www.hybrid-analysis.com/sample/7...5fac03ceff
Arhivirano:
- https://archive.ph/NETw6
- https://archive.ph/n92Vn
U izvornom kodu web sajta sakss.org.rs (Sportski auto i karting savez Srbije) mogu se videti skrivene reklame za Rolexe. Web sajt je hostovan na IP: 205.144.171.72, zemlja USA, provajder Alchemy.net.
IP se spominje i na drugim lokacijama sa malicioznim indikatorima, npr: https://any.run/report/28d045bf0f47d0404...04f361f422.
Arhivirano:
- https://archive.ph/I1CG6
- https://archive.ph/wEamp
U izvornom kodu web sajta wish.co.rs (wish.rs) mogu se videti skrivene reklame za Rolexe. Web sajt je hostovan na IP: 93.188.2.51, zemlja Švedska, provajder Loopia.
IP se spominje na više lokacija sa malicioznim indikatorima:
- https://otx.alienvault.com/indicator/fil...ace9ecc0e/
- https://www.vmray.com/analyses/1fe427cfa...report.pdf
- https://www.hybrid-analysis.com/sample/b...mentId=100
Arhivirano:
- https://archive.ph/BChhI
- https://archive.ph/tUcNY
- https://archive.ph/x25nE
Primer maliciozne poruke:
Zrtva je uradila ispovjest (slika ispod) al ukratko kao i kod DPD prevare:
- Zrtva se namami da uplati na lazni servis IRS, prije uplate dodje email koji "potvrdjuje" dugovanja.
- Zrtva kuca broj kartice i CVV i novac joj se skida sa kartice i koristi u narednim danima, sve do blokiranja kartice.
Zato pazite se!
Izvor: https://www.linkedin.com/posts/tatjanara...54816-VbnG
Prvi put sam cuo nekad 2010 god za ovakav vid prevara:
Osoba prodaje prozivod ili kupuje. Prevarant salje link za kurirsku/transportnu sluzbu a tu se trazi da se unese broj kartice, CVV i druge info
Sajt sluzbe za transport il kurirske sluzbe - izgleda identicno pravim (njuskalo, DPD i slicno) - tako da ljudi koji po prvi put rade ovako nesto mogu nasjesti.
Takodje prevarant stupa u kontakt sa vama, prodavajuci vam maglu.
Zahvaljujem se Ognjenu na informacijama
Evo slike kako to izgleda
Cyber criminals, su poceli svoje remote access tool-ove da integrisu u legitimne programe poput pdf reader-a, keepass-a i drugih.
Obratiti paznju na adrese odakle skidate programe !!
https://blogs.blackberry.com/en/2022/11/...ds-keepass
p.s: u prilogu primer fake stranice, originalni URL za keepass je keepass.info a ne keepas.org
Mailovi dolaze sa debanoirblog[.]com
Na telefonu je jako tesko prepoznati posiljaoca - vecina android mail klijenata prikazuje tek osnovne podatke (bez maila odakle se salje) tako da bi ovaj phishing mogao da bude sa vecim % prolaznosti. Mail je lokalizovan (kao da salje firma iz Srbije)
Obasnjenje strategije napadaca: Sadrzaj ne postoji (PDF/racun) - reply-to sluzi jer prvobitni host debanoirblog jer kompromitovan i iskoristen da posalje na hiljade mailova prema listi koju ima napadac. Svaki email ima uniq ID: email+ numericki kod (u ovom slucaju 56801). Prilikom reply se verifikuje postojanje poslatog maila sa ta dva faktora - sa druge strane se nalazi operateri koji preuzimaju "kllijenta" i klasicna prevara moze da pocne. Cilj je otudjivanje novca, kartice i drugog.
Kasnije se zrtvi salje upustvo kako da posalje novac da bi obustavili transakciju.
Cak i ako ne uzme novac - napadac ima verifikovanu email adresu kojiu moze da koristi za buduce napade.
Dodatne informacije:
debanoirblog[.]com. 300 IN MX 1 debanoirblog[.]com.
debanoirblog[.]com. 300 IN A 92[.]52[.]217[.]177
Na slikama su primjer header maila, mail i zaglavlje na mail klijentu
zaglavlje maila:
Ispod je poruka, sa verovatno malicioznim prilogom, koja ima za cilj da uplaši žrtvu - koristeći "autoritet", i navede je na otvaranje priloženih malicioznih dokumenata ili dalju komunikaciju. Ono što možemo da primetimo je da osoba koja je ovo kreirala ne zna baš najbolje jezike i stanje granica u regionu. Ali je i takođe zanimljivo primetiti trud oko korišćenja logotipa i imena/potpisa/pečata sa ovog područja.
Izvor:
1. https://twitter.com/NSVeselko/status/158...4691506186
2. https://twitter.com/RadojevGoran/status/...8692623362
Arhivirano:
1. https://archive.ph/P0QXR
2. https://archive.ph/6t3Xx
Prilično čest phishing...
link otvara sajt gde traži da se uloguješ
link je hXXps://validacija-lozinke-administratora-servera-rs-21.s3.us-west-004.backblazeb2[.]com/index.html#[email protected]
mejl došao iz bosne, verovatno preko procurelih kredencijala:
Received: from pl14.fakat.net ([46.4.55.78]:52962)
by cp11.ulimitserver.com with esmtps (TLS1.2) tls TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
(Exim 4.95)
(envelope-from <[email protected]>)