Nudi se prodaja pristupa panelu jednog hotela u Srbiji. Baza trenutno sadrži oko 23.460 korisnika i stalno raste kako se prijavljuju novi gosti. Za svakog gosta dostupni su podaci poput imena i prezimena, datuma rođenja, adrese i grada, JMBG-a ili broja pasoša/ličnog dokumenta za strane državljane, kao i datumi prijave i odjave iz hotela. Navodi se da je oko 75% korisnika iz Srbije, dok su ostali iz regiona i drugih zemalja, a panel je aktivan i automatski se dopunjuje novim zapisima.

   

Kada se na jgpnis.rs ode sa Windows desktopa dobije se lažni captcha ekran koji govori da treba da se odrade neke komande na tastaturi :

   

Ovaj napad je poznat kao ClickFix i ako se odrade komande sa ekrana pokrenuće malware na računaru, najčešće neki kradljivac podataka - infostealer.

Na vrhu index fajla vidljiva je skripta koja učitava spoljnu skriptu :

   

Pitam ChatGPT šta radi ova skripta:

Quote:Šta radi kod (sažeto):

• Proverava da li je već pokrenut
  
  Code:

  window.__performance_optimizer_v6
• Ne izvršava se ako postoji WordPress login cookie 
  
  Code:

  wordpress_logged_in_
• Pokušava da preuzme i izvrši udaljeni JavaScript sa više fallback URL-ova
  
• URL-ovi su base64 enkodovani i iseckani, pa se spajaju
  
• Dodaje 
  
  Code:

  Math.random()
  na kraj (cache-busting)
  
• Ako prvi URL ne radi → pokušava sledeći
  
  Code:

  e(a+1)
• Ako uspe → ubacuje odgovor kao 
  
  Code:

  <script>
  u 
  
  Code:

  <head>
  
  

To je tipičan loader / potencijalno maliciozni dropper.

Rezultujući URL-ovi:

1. Code:

   https://newtdsone.shoc/jsrepo?rnd=
   + random
   
2. Code:

   https://cptoptious.com/jsrepo?rnd=
   + random
   
3. Code:

   https://captioto.com/jsrepo?rnd=
   + random
   

Pri testiranju pokušao je da otvori sledeće linkove koji serviraju lažni captcha ekran :


Oba domena imaju solidno prepoznavanje na VT:

   

   

Skripta koja pokazuje ClickFix mamac je identifikovana kao ClearFake

Quote:ClearFake is a malicious JavaScript framework deployed on compromised websites to deliver further malware using the drive-by download technique. The malware leverages social engineering to trick the user into running a fake web browser update.

Da podsetim, ovo nije prvi put da ovaj sajt ima probleme: jgpnis.rs - sajt zloupotrebljen za SEO spam

Pripadnici Službe za borbu protiv visokotehnološkog kriminala, Uprave za tehniku, u koordinaciji sa Posebnim odeljenjem za borbu protiv visokotehnološkog kriminala Višeg javnog tužilaštva u Beogradu, sproveli su akciju usmerenu na razbijanje lanca "WhatsApp" prevara i uhapsili četiri osobe zbog sumnje da su prevarili građane Srbije za oko osam miliona dinara.

Kad se desila skorašnja afera oko kompromitacije naloga korisnika APR-a uzeo sam da vidim šta mogu iskopati pasivnim OSINT metodama, i imao sam šta naći...

Na istoj IP adresi gde je i glavni sajt APRa...

postoje u isto vreme dva dostupna FileZilla servera, ovo objašnjavam da je možda na ovoj IP adresi zapravo Firewall i da se kroz njega prosleđuje na različite računare u unutrašnjoj mreži...

Ali problem je što jedan od ovih FileZilla servera koristi veoma staru verziju:

Jedan FileZilla server je verzije 1.6.5 koja je izašla 2023-01-22 što je čini praistorijskom u IT svetu
Drugi je znatno novije i ažurnije verzije 1.12.1 izašle 2025-12-10, ali postoji i 1.12.5 koja je novija

   

Nisam našao neke kritične ranjivosti koje bi uzrokovale paniku, ali ovo je pokazatelj loše bezbednosne prakse gde ne ažuriraju softver i ostavljaju zastarele servise otvorene ka javnom internetu, pitanje je vremena kada će se pojaviti neka ranjivost koja će omogućiti kompromitaciju i zloupotrebu ovih servisa.

Takođe kao što je neko zloupotrebio kredencijale da pristupi COEPu (Centralne evidencije objedinjenih procedura), ako se neko dokopa kredencijala za ovaj FTP server, može upasti i iskoristiti podatke sa njega. Ovo je razlog da ovakvi serveri ne budu na javnom internetu ili da kao minimum imaju dvofaktorsku autentifikaciju, po mogućstvu otpornu na fišing.

---

Drugi servis sa starijom verzijom na ovoj IP adresi je IIS web server koji postoji na izdvojenom nepodrazumevanom portu i mogu samo da nagađam da služi za razvoj neke aplikacije ili APR sajta.

Problem ovde je što je web server IIS verzije 7.5 koja je izašla 2009. i čija podrška je prestala početkom 2020. Stare verzije uglavnom ne dobijaju bezbednosne zakrpe.

Srodni problem je što je ova verzija IIS web servera podržana samo na Windows 7 i Windows Server 2008 R2 što znači da je ovaj web server na starom i nepodržanom operativnom sistemu koji ne dobija zakrpe, pojačavajući potencijalni rizik od kompromitacije.

Ne bi me čudilo zapravo da je ona starija verzija FileZilla servera na ovom starijem serveru.

   

Iz ovoga kao i iz APR sistem za podnošenje e-zahteva - usporeno učitavanje stranice za pomoć možemo zaključiti da je po pitanju sajber bezbednosti, stav APR-a loš i neprikladan za današnje internet pretnje.

Ako odemo na glavnu stranicu APR CEOP - Sistem za podnošenje elektronskih zahteva i kliknemo gore na link za "Pomoć" ostaćemo zaglavljeni i stranica se neće odmah učitati. U pretraživaču možemo videti pokušaj učitavanja nečega sa kaspersky-labs.com :

   

Proverio sam da se dešava na raznim browserima i operativnim sistemima, kao i internet konekcijama, negde otvara brže a negde sporije.

Pokušava da učitava sa https://gc.kis.v2.scr.kaspersky-labs.com ali na toj adresi ne postoji https server pa se zaglavi i tako stoji dok ne istekne vreme pokušaja konekcije posle čega učita sajt za pomoć i dalje ne pravi probleme...

   

U samom kodu levog okvira (https://ceop.apr.gov.rs/eregistrationpor...index.html) na stranici za Pomoć vidimo učitavanje skripte sa te adrese :

   

Šta je sad ovaj gc.kis.v2.scr.kaspersky-labs.com?

Pretragom na guglu nalazim da je ovo funkcija kućne verzije Kaspersky anti-virusa gde ubrizgavaju skriptu u sav web saobraćaj na lokalnom računaru gde se koristi Kaspersky anti-virus i omogućena mu je opcija "Inject script into web traffic to interact with web pages" :

   

Detaljnije, ovo služi da se svaka stranica preko ove skripte povezuje na lokalnu anti-virus instancu radi bezbednosne provere stranice, navodno saobraćaj ne izlazi sa lokalnog računara te zato nema web servera na toj adresi kada joj se pristupi sa javnog interneta...

   

Kako je ovo dospelo na stranicu za Pomoć portala za Centralnu evidenciju objedinjenih procedura (CEOP)?

Jedino što mi zvuči moguće je da je osoba koja održava ovaj sajt iz nekog razloga otvorila web stranicu u pretraživaču sa svog računara gde ima Kaspersky Anti-Virus koji je onda ubrizgao skriptu u stranicu, posle toga je sačuvao tako ubrizgan HTML fajl i takvog ga otpremio na web hosting CEOP sajta.

Sa njegove tačke gledišta sajt radi bez problema i učitava se odmah jer će pokušaj otvaranja ovog linka biti uspešno, povezivajući se sa  lokalnim Kaspersky anti-virusom.
Moguće je i da sajt ne pravi problem svima koji imaju instaliranu kućnu verziju Kaspersky anti-virusa.

Za nas ostale ostanemo zaglavljeni i ne možemo da otvorimo sajt dok ne istekne pokušaj povezivanja.

Deluje bezazleno, zašto se bavimo ovime?

Nije opasno i nije propust na sajtu, više je nemar onoga ko upravlja sajtom i pokazatelj loše programerske prakse kao i manjak testiranja pre puštanja u produkciju. Takođe ukazuje na mogućnost da iza programiranja sajta CEOPa ne postoji ispravan sistem za kontrolu verzija poput Git-a koji bi omogućavao praćenje i upravljanje promenama na sajtu gde bi se lakše primetili ovakvi problemi.

https://dailydarkweb.net/energetika-ljub...ure-files/
   

buzzsneaker.rs nije buzzsneakers.rs ! legitiman je onaj sa slovom S na kraju.

Moram priznati da u početku nisam skontao o čemu se ovde radi dok postavljač teme na redditu nije pojasnio da je mejl stigao sa domena bez slova s na kraju.

Trenutno nemam sve detalje, dokumentujem ono što imam

Sa Reddit objave: 

   

mejl koji je osoba primila posle porudžbine, ne znam na kom sajtu je porudžbina napravljena...

   

Sajt je kloniran u potpunosti do te mere da sumnjam da možda direktno proksira sadržaj uživo sa zvaničnog sajta...

   

Kloniran do te mere da čak sadrži i upozorenje o lažnim sajtovima :

   

Sajt je indeksiran na guglu što lako može dovesti nekoga u zabludu :

   

Nisam uspeo da poručim ništa sa lažnog sajta, linkovi za login i registraciju takođe ne funkcionišu. Moguće je dodati proizvode u korpu ali nije moguće poručiti :

   

Po svemu sudeći domen je registrovan za fišing :


Detalji sa servera :

   

Zanimljivo je i da je na jednom portu nekakav Telegram servis, Telegram se često koristi da kradljivci direktno prime ukradene podatke :

   

imali su dva sertifikata, odnosno dve kampanje fišinga sa ovim domenom :

   

Našao sam tragove prvog sertifikata napravljenog 2026-03-11 na drugoj IP adresi na serveru koji je izgleda suspendovan jer ga je Shodan poslednji put video 2026-03-13T01:44:18 ...

   

   

Ako dođem do još nekih saznanja povodom ovoga dodaću u odgovoru...

Ministarstvo odbrane Srbije na meti ruskih državnih hakera 

Quote:Sažetak

• Grupa nezavisnih stručnjaka za sajber bezbednost "Crtl Alt Intel" je sredinom marta uspela da pristupi folderima na serveru ruske hakerske grupe.
  
• Podaci do kojih su došli pokazuju da je moguće identifikovati šest različitih imejl naloga Ministarstva odbrane koji su hakovani.
  
• Podaci su nađeni kod hakerske grupe "Fancy Bear", koju američke i britanske državne institucije povezuju sa ruskom vojnom obaveštajnom službom GRU.
  

originalno istraživanje: FancyBear Exposed: Major OPSEC Blunder Inside Russian Espionage Ops

Hakerski napadi u Srbiji: Telekom samo jedna u nizu meta, a slučajevi bez epiloga

Quote:Tokom proteklih nekoliko godina, državne institucije u Srbije više puta su bile suočene sa hakerskim napadima na svoje sisteme. Poslednji napadi bili su na bazu Telekoma, iz koje su ukradeni lični podaci 600.000 korisnika, kao i na bazu Agencije za privredne registre. Ovo nisu izolovani slučajevi, jer se tokom prethodnih godina desilo više hakerskih napada, a na njih utiču dva faktora – slabiji bezbednosni sistemi s jedne, i sve jači alati za hakere sa druge strane.

Fotografija karte za ukrcavanje u avion (boarding pass) na socijalnim mrežama uz poruku „krenuli smo“ postala je gotovo neizostavan deo putovanja. Ipak, ono što deluje kao bezazlen čin može predstavljati ozbiljan bezbednosni rizik – ne samo u digitalnom smislu, već i u realnom životu.

Quote:Stručnjaci za sajber bezbednost zato savetuju jednostavno pravilo: boarding kartu treba tretirati kao lični dokument. To znači da je ne treba objavljivati na društvenim mrežama u originalnom obliku, a posebno ne sa vidljivim skenabilnim kodovima i šifrom rezervacije.