Širi se ovaj mejl :

   

Jedan od uzoraka koji sam pogledao je došao ovom rutom :

   

link je sbb-update-renewals.onelink .me/aQyd/yr7dqlty 

trenutno preusmerava na app-sbb-auto-6629.twil .io/rs?referrer=af_tranid%3D3NXsDq-a6P_9vgDA3GnBKg%26deep_link_sub1%3Dsbbapp%26c%3Dsbbapp%26pid%3Dapp%26deep_link_value%3Dsbbapp

ali završava sa "Unauthorized - you are not authenticated to perform this request" - izgleda da je možda ubijeno šta god je bilo.

našao sam da je juče preusmeravao drugačije :

   

preusmeravao na 30844520.appmagic.co .za/rs/ koji je još uvek aktivan i prikazuje lažnu stranicu Banca Intesa za plaćanje :

   

podatke šalje na 30844520.appmagic.co .za/rs/api/send.php


i vrti neko vreme...

   

na kraju kaže :

   

Danas sam primetio da je sajt Doma kulture Studentskog grada - dksg.rs nedostupan.

   
   

Autoritarni NS 37.48.108.46 (jedro150.adriadns.com / ns299.adriadns.com / ns300.adriadns.com, identični su A zapisi) za njihov domen je postao nedostupan, koji je inače na holandskoj LeaseWeb infrastrukturi koju koristi domaća kompanija AdriaHost.

   

Dodatno, po arhivi ruskog strugala™ pr-cy[.]ru na linku, jedro150 se koristilo i za web hosting zajedno sa zonom za domen.
   
   

Zaključak je da je server jedro150 potpuno nedostupan iz nejasnih razloga ili je u pitanju migracija a zapisi se nisu izmenili sa registar/RNIDS strane.

Dodao bih da bi trebalo napraviti jasnu razliku između ovog jedra150 i para ns299.adriahost.com i ns300.adriahost.com koji rade i upućuju na drugačije adrese ali su isto na LeaseWeb infrastrukturi.

Na hostu white.fpn.bg.ac.rs (147.91.229.73) sam uočio javno izloženi NTP (123/udp) servis. Ovo nije toliko redak previd zato što ntpd podrazumevano sluša na svim interfejsima i ukoliko mašina nema fizički firewall ispred već zavisi od netfiltera (iptables/nft) koji je podrazumevano postavljen na ACCEPT, ili ako netfilter nije uopšte omogućen, ovaj servis će biti izložen što je laka meta za zloupotrebu iako ne bi trebalo da se išta sinhronizuje sa njega.

Ono što je u ovom slučaju meni interesantno jeste da je servis pri svakom upitu, pa i prvom, odgovarao sa KoD (kiss-of-death) paketom iako nema za šta da budemo rate limitovani u tom trenutku.

Quote:11:59:32.540067 IP (tos 0xb8, ttl 53, id 29075, offset 0, flags [DF], proto UDP (17), length 76)
147.91.229.73.123 > A.B.C.D.42458: [udp sum ok] NTPv4, Server, length 48
Leap indicator: clock unsynchronized (192), Stratum 0 (unspecified), poll 3 (8s), precision -19
Root Delay: 0.000000, Root dispersion: 58.349655, Reference-ID: (unspec)
Reference Timestamp:  0.000000000
Originator Timestamp: 3986193572.502235889 (2026-04-26T11:59:32Z)
Receive Timestamp:    3986193561.397337374 (2026-04-26T11:59:21Z)
Transmit Timestamp:   3986193561.397461995 (2026-04-26T11:59:21Z)
Originator - Receive Timestamp:  -11.104898515
Originator - Transmit Timestamp: -11.104773893

Podebljano je karakteristično za KoD paket, ali ja bih se fokusirao na crvena slova. Po velikom root dispersionu kao i kašnjenju od 10ak sekundi sa mojim vremenom koje je sinhronizovano, dobijam zaključak da je uzročnik stalnog KoD-a zapravo neki vid logičke greške koja je sled desinhronizacije vremena sa sopstvenim izvorom.

Epilog:
Javljen problem, onemogućen pristup NTP servis sutradan. Zvanične povratne informacije nije bilo.

Stiglo je sledeće obaveštenje od provajdera na e-poštu. Zvuči da nije previše relevantno ako se ne vrte kontejneri na hostu ili serveru, ali svakako ne škodi onemogućiti viškove od modula.

Quote:Security Notice - CVE-2026-31431: Analysis, Scope, and Remediation Plan
Hello,

This is an informational notice regarding CVE-2026-31431, known as "Copy Fail". It
represents one of the most widespread Linux kernel vulnerabilities in recent years, with
a potential impact on the global Linux ecosystem. This flaw was reported on April 29,
2026.

Our security team acknowledged this disclosure on the day of its publication and
immediately initiated the necessary investigations.

This flaw, located in the kernel's cryptographic subsystem (via the AF_ALG interface),
allows for a Local Privilege Escalation (LPE). On a standard server, it allows a standard
user to become root (administrator). Within a containerized environment (such as
Docker or Kubernetes), it enables a container escape to take control of the host node.

As the security of your infrastructure is our priority, here are the details regarding the
impact of this vulnerability on your Scaleway services and the recommendations to
follow.

Actions Taken by Scaleway
Upon the disclosure of this vulnerability, our teams took the necessary measures to
secure environments and provide clean images:

On Kubernetes Kapsule: New OS images disabling the algif_aead module
have been deployed: Any new node created after April 30, 2026, at 14:20 CEST
will automatically use a mitigated version. (You can check the release date of the
version being used in the OS-IMAGE field returned by kubectl get node -o
wide).

Risk Assessment: Multi-tenant Context vs. Isolated Environment

The urgency to apply patches strongly depends on your usage patterns and the
architecture of your services:

Multi-tenant / Shared Environment (High Severity): If your machines or Kapsule
clusters host applications from different clients, provide shell access to multiple
users, or execute unverified third-party code, this vulnerability is critical. An
attacker with limited access (standard user or pod access) can exploit this flaw
to gain full control of the server (root access) and compromise the data of other
tenants on the system.

Single-tenant / Isolated Environment (Moderate Severity): If your servers or
clusters are strictly dedicated to your own use and only run trusted applications
for which you control the code (without local access or arbitrary execution
possible by third parties), the risk is significantly lower. The vulnerability indeed
requires prior local code execution to be exploited.

Required Actions and Temporary Mitigation

The permanent solution is to update your systems' kernel once a version including the
patch is available. We invite you to regularly check for the patch availability for your
specific OS.

Mitigation Measure (Workaround):

If an immediate reboot or update is not possible, you can apply a temporary mitigation
directly on your affected nodes and servers to block the vulnerable interface. Execute
the following commands with administrator privileges (root or sudo):

Code:

# Create a rule to prevent their automatic reloading echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif.conf # Unload the vulnerable module from memory rmmod algif_aead 2>/dev/null || true

For servers based on RedHat / CentOS / AlmaLinux / RockyLinux:

Code:

# Create a rule to prevent the module from loading automatically on boot grubby --update-kernel=ALL --args=initcall_blacklist=algif_aead_init # Completely reboot the system to apply the modification

For Kubernetes Kapsule, this operation must be performed on the worker nodes, for
example via SSH access or by deploying a privileged DaemonSet:

Code:

apiVersion: apps/v1 kind: DaemonSet metadata: name: disable-algif-aead namespace: kube-system labels: app: disable-algif-aead spec: selector: matchLabels: app: disable-algif-aead template: metadata: labels: app: disable-algif-aead spec: hostPID: true tolerations: - operator: Exists effect: NoSchedule - operator: Exists effect: NoExecute initContainers: - name: disable-algif-aead image: alpine:3.23 securityContext: privileged: true command: - /bin/sh - -c - | echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf rmmod algif_aead 2>/dev/null || true volumeMounts: - name: modprobe-d mountPath: /etc/modprobe.d containers: - name: pause image: registry.k8s.io/pause:3.10 resources:

Posle SMS prevara "kazna za vozilo" od MUPa i lažni sajt eUprave za "plaćanje"

i [BA] SMS prevara "kazna za vozilo" - lažni sajt IDDEEA za "plaćanje"

Na red je došla i Hrvatska...

   

Nove poruke uznemirile građane: 'Zabilježili smo prometni prekršaj vašeg vozila'; oglasili se iz policije

Quote:Građane se poziva na oprez i savjetuje se da koriste jake lozinke, ne otkrivaju ih drugim osobama i uključe dvostruku autentifikaciju. Ne klikajte na sumnjive poveznice i ne unosite na takvim stranicama podatke bankovne kartice, lozinke i slično te da na uređajima koje koristite redovito ažurirate operativni sustav. Također, na internetu ne dijelite previše osobnih podataka.

“Ako zaprimite poziv osobe koja se predstavlja kao djelatnik banke, državne ustanove, davatelja internetskih usluga i slično, a od vas traži osobne podatke i podatke o bankovnom računu, nikada ne dajte takve podatke (banke, državne ustanove i dr. neće tražiti takve podatke od vas) te provjerite je li pozivatelj doista osoba za koju se predstavlja (povratno nazovite službeni broj banke ili druge institucije)”, upozorila je policija.

Domen u pitanju je veoma brzo suspendovan :

Zlonamerni akter prodaje navodni pristup admin nalogu na sistemu za upravljanje sadržajem (CMS) od privreda.gov.rs

U okviru objave na jednom forumu podelio je i uzoran koji sadrži brojeve telefona, brojeve kancelarija, mejl i druge podatke o službenicima Ministarstva Privrede. 
Ovi mejlovi u uzorku su sa adresom @priv.rs ali taj domen ne postoji i ne koristi se za mejl. Ovo su možda login korisnička imena za neki deo portala za privatizaciju od Ministarstva privrede, ili se mejlovi sa adresom @priv.rs koriste interno bez izlaza na internet.

   

Omogucen directory-listing i pristup mnogo cemu. Pokusao sam uspostaviti kontakt preko vise linija - bez uspjeha.

Pregledom potvrdjena prisustvo kaspersky kljuceva, ugovora i faktura, kredencijali cloud naloga, osjetljiva medicinska dokumentacija, itd... 
Mali dio ukupno dostupnih informacija je prikazan na slikama.

Ukoliko neko ima kontakt sa vlasnicima, budite slobodni da im javite.

       

istekao sertifikat portalu za bombastično promovisanu "legalizaciju" nepokretnosti

   

   

sajt je hostovan iza državnog WAFa pod ingerencijom Kancelarije za IT i eUpravu gde i većina gov.rs sajtova...

Fali SPF zapis:

   

Ne znam za DKIM stanje, ali svakako:

   

Ovo je ista kampanja kao i SMS prevara "kazna za vozilo" od MUPa i lažni sajt eUprave za "plaćanje" samo što cilja građane BiH

Quote:Agencija za identifikacione dokumente, evidenciju i razmjenu podataka Bosne i Hercegovine (IDDEEA) upozorava sve građane da je evidentirana pojava lažnih SMS poruka i internet stranica koje neovlašteno koriste naziv i vizuelni identitet IDDEEA BiH s ciljem dovođenja građana u zabludu i mogućeg pribavljanja ličnih ili finansijskih podataka.

https://www.klix.ba/vijesti/bih/upozoren.../260425058

   

izgled sajta i stranica :

   

   

   

Sve isto kao i kod kampanje koja cilja Srbiju, isti fišing kit je u pitanju i nalazi se na istoj infrastrukturi kao i kampanje koje ciljaju druge zemlje.


Prethodni put kad sam proverio IP adresu hostovala je 14 prevarnih domena koji ciljaju razne zemlje, sada se taj broj popeo na 24 :


IDDEEA je upozorila na prevaru preko mejla :