Zdravo svima! 

Moje ime je mnogima teško za izgovor pa su mi nadenuli nadimak Maksa, a u alias sam dodao još jedno "x" da bude kul.
Linux entuzijasta (to se tako kaže), aktivista beogradskog hackerspace-a HakLab, Cryptoparty Srbija cofounder, uskoro i još nekih zanimljivih projekata,
Profesionalno 15+ godina uglavnom na SysAdmin pozicijama (i ostala Ops priključenija), poslednje tri na Sec poziciji. Kada nisam za tastaturom uglavnom sam offline u nekoj šumi.

Ovaj forum smatram izuzetno korisnim i bitnim za poboljšanje bezbednosti, kao i svesti o istoj i nadam se da će kao takav dati smislene rezultate.

p.s. Nisam bio hapšen niti privođen

http://77.46.142.178:8080/
http://77.46.142.178:8081/

Takodje ima i samba protokol koji je vuln.
SMB Status:
  Authentication: disabled
  SMB Version: 1
  OS: Windows 5.1
  Software: Windows 2000 LAN Manager

Vrlo moguce da je ovo honeypot (s`obzirom o kome se radi), al` nije iskljuceno da je i real... :/


source: shodan

http://178.221.38.101:8080/
http://178.221.38.101:8081/

source: shodan

http://195.222.99.213:8080/
http://195.222.99.213:8081/

http://195.222.98.178:8080/
http://195.222.98.178:8081/

source: shodan

Sledece adrese dopustaju FTP login sa anonymous username:
147.91.184.149
147.91.249.5
147.91.250.3
147.91.26.211
147.91.27.101
147.91.27.133
147.91.27.153
147.91.30.116
147.91.42.155
147.91.73.131
147.91.73.58
91.187.132.16



Potrebno je u conf-u vsftpd-a onemoguciti anonymous logovanje.

---

Takodje ista mreza ima ranjive ftp servise (CVE-2015-3306):

147.91.172.163
147.91.42.155
147.91.73.131
147.91.73.58
147.91.75.6

source: shodan

Morao sam ih staviti ovde, trazeci nesto na shodanu, naletim na:
https://www.shodan.io/host/93.87.27.182

Prica pocinje od Ivan-ovog statusa:

Quote:Ovo nije kul, trojanac sa targetiranom kampanjom  #Bezbednost #Privatnost #Virus #Malware #еУправа #Neshta #Srbija #Serbia

Prica je dosla do toga da je HCREADER.exe izvrsni fajl koji se nalazi na rfzo.rs sajtu maliciozan.

Konkretno, postoje tehnike koje blokiraju izvrsavanje file-a ili delimicno izvrasavanje, ukoliko je detektovan neki sistem (proces) koji sluzi za analiziranje file-ova (cime mozemo da spoznamo jel file maliciozan ili ne, bez da ugrozimo sistem), taj proces moze biti EDR, sandbox ili neko trece resenje ciji je cilj da simulira ponasanje korisnika i da prikupi sve sta taj proces radi.

Cilj ovakvog virusa je teza detekcija.

Dokazi ovoj tvrdnji su sledeci:

1. Sam file nije maliciozan kod vecina AV kuca:








2. Pod ponasanjem file-a, VT kaze sledece:





3. kada sagledamo sta se desava kada se file startuje, na slici ispod, vidimo da file HCreader.exe(1) poziva jos jedan file da se izvrsi (2) koji je u ovom slucaju maliciozan (3)






File je razvila kuca  NetSet d.o.o.

kontaktirani su da daju komentar, naravno ostali smo bez istog.

Takodje su (doduse na twiteru jedino koliko znam) kontaktirani i drzavni organi, al` bez glasa i traga ....

NAPOMENA! analiza je radjena iskljucivo preko online dostupnih servisa, zbog toga su moguci pogresni zakljuci.

Zamolio bih da se ukljuci vise ljudi, pogotovu koji su iskusni u istrazivanju virusa, da analiziraju ovaj file i potvrde sumnju...

Inace, file se nalazi na: https://www.rfzo.rs/index.php/osiguranal...a/kzo-down

I sta je jos zanimljivo, exe file se nalazi u instalaciji za linux sisteme

Quote:4. КЗО Читач за Linux оперативне системе

       - За Linux оперативне системе

Kako je potencijalno doslo do ovoga?

1. napadnut rfzo sajt i postavljen virus
2. unutar rfzo-a je neko podmetnuo maliciozan file
3. NetSet kuca koja je razvila app. je imala breach i napadaca je uspeo da ubaci malware u njihov sistem koji ubacuje maliciozne delove code-a u njihove produkte (sumnjam da oni licno ucestvuju u tome)
4. Virus Total izbacuje anomalije i da je cela ova prica false flag

Izuzetno lose. Nekoliko kompanija ima pristup privatnim podacima gradjana bez ikakve kontrole drzave:

https://banjaluka.net/kroz-poslove-sa-so...adjana-rs/

- Preuzeto od Twitter korisnika @0xGio: https://twitter.com/0xGio/status/1569696376195358721 -

Molim vas da NE kliknete na "askforme" link, jer će ta aplikacija da ima pristup vašem TW nalogu, i može da radi šta hoće, ako ste već kliknuli, onda radite sledeće: Settings and privacy > Security and account access > Apps & sessions > Connected apps > REVOKE ACCESS.

Ne postoji način da preko Twitter API pokaze ko gleda vaš nalog, ili ko vas je blokirao, tj svaka APP je fake i zeli samo pristup vašem nalogu da se širi dalje tehnički mogu da prave neku listu prijatelja skim imate najviše interakcije, što i vjerovatno jeste u ovom slučaju.

Šta može neko sa ovim da radi?

Pa osim to što čita DM, vidi email adresu, i ostale informacije, može i da tvituje što znači da neko ima moćnu bot mrežu koja samo čeka trenutak ili neki event da širi dezinformaciju.

---

Primer kompromitovanog naloga:

---

Kako da nađete još sličnih profila:

U nekom idealnom slučaju, ova stranica ne bi imala "trekere", i korisničko uputstvo bi bilo u zemlji. HTTPS bi bio uvek uključen, i ovaj kod na login dugmetu nikada ne bi videli: ... href="eporezi://env=prod&loginKey=1661096921364g1v7o0joc2o8lba91jdfpv2qkb/"...