Analizom početne stranice bloga ove ransomware grupe uočeno je da priloženi sample nemaju nikakve veze sa Beogradskim univerzitetom, već se odnose na Elektronski fakultet u Nišu. Iako grupa tvrdi da je objavila podatke od 3 GB, stvarni fajl iznosi oko 1 GB i sadrži isključivo .eml fajlove, sačuvane pojedinačne imejl poruke koje uključuju kompletnu komunikaciju jednog profesora sa studentima. Proverom je potvrđeno da je profesorov nalog bio zaražen infostealer virusom pre četiri godine, što dokazuje da su ovi podaci zapravo stari i reciklirani.

   
   

Interesantno je da stealer logovi otkrivaju lokalnu IP adresu i naziv računara, na osnovu čega mogu da pretpostavim da je do kompromitovanja došlo unutar lokalne mreže fakulteta u prošlosti. Takođe, kroz logove vidim specifičan poddomen mejl servisa koji više ne postoji, u međuvremenu je zamenjen novim poddomenom sa drugim brojem koji vodi do Outlook login stranice.

   
   
   

Ransomware grupa očigledno koristi ove stare podatke kako bi fabrikovala priču o novom napadu.
https://www.cloudsek.com/blog/unmasking-...ashe-apt73
   

   

Link zoominfo-a u opisu je pogrešan. Valjda su mislili na ovaj. https://www.zoominfo.com/c/ugo-group/448306686

Isti zlonamerni akter koji je pre nekoliko dana preuzeo odgovornost za kompromitaciju baze Telekom Srbije (m:SAT TV) sada tvrdi da poseduje i bazu podataka Agencija za privredne registre Srbije (APR).

   
APR je državna institucija nadležna za vođenje registara privrednih subjekata u Srbiji, uključujući firme, preduzetnike i druge organizacije kao i za prikupljanje i objavljivanje njihovih finansijskih i statusnih podataka.

Prema navodima napadača, baza koju poseduje sadrži sledeće informacije:
1. Puna imena, JMBG, adrese stanovanja i datume rođenja vlasnika firmi, zakonskih zastupnika i ovlašćenih lica
2. Skenirane lične karte i pasoše
3. Kompletne finansijske izveštaje, kreditne ocene i podatke o bankovnim računima, uključujući informacije o prinudnoj naplati
4. Evidenciju vlasništva nad udelima, nepokretnostima i profesionalnim licencama
5. Sudske zabrane, založna prava i ugovore o lizingu

Napadač tvrdi da će, ukoliko u roku od 24 časa ne dobije odgovor od APR-a, objaviti kompletnu bazu podataka.
Za sada nije poznato o kojoj količini podataka je reč niti u kom obimu su informacije kompromitovane.

Na osnovu uzoraka koje je objavio, mogu se videti dokumenta poput punomoćja i potvrda o prijemu zahteva, u kojima su sadržani osetljivi podaci, uključujući imena i prezimena, JMBG, brojeve ličnih dokumenata i adrese stanovanja.

       

Na jednom forumu akter prodaje pristup nepoznatom mejl nalogu iz Bosne i Hercegovine za koji pretpostavljam da je negde na gov.ba domenu.

   

Firma Pulsec (Powered by Telekom Srbija) ima sajt za e-learning o sajber bezbednosti gde naplaćuje godišnju pretplatu za pristup kursevima. Nisam zapravo siguran da li je ovaj sajt uopšte aktivan ili napušten ali DNS zapis postoji u ovom trenutku i Gugl prikazuje rezultate pretrage za sajt što znači da je u neko skorije vreme bio dostupan tipa 4-6 meseci, nisam siguran koliko dugo treba Guglu da skine nedostupne sajtove sa indeksa...

   

   

   

   

   

Zlonamerni akter je na jednom forumu jednostavno podelio šifru za nekakav admin pristup ovom sajtu

Ostaje nepoznato da li je pravi admin nalog ili se neko zeza...

   

Kompanija Er Srbija je na mreži X otkrila identitet jedne „tviterašice“, obraćajući joj se ličnim imenom, a potom iznela detalje iz njenog radnog odnosa iz vremena dok je radila za njih. Stručnjaci upozoravaju da ovo predstavlja ne samo kršenje Zakona o zaštiti podataka o ličnosti, već i takozvani "doxxing" – odnosno uznemiravanje i zastrašivanje u onlajn prostoru objavljivanjem nečijih ličnih podataka.

Kako javlja Daily Dark Web :

   

uz snimak ekrana sa jednog foruma :

   

Naizgled ovo je baza portala za zakazivanje zahteva za m:SAT TV uslugu koju koriste partneri MTS-a koji vrše ugradnju ove usluge na terenu. Sadrži oko 169,000 zapisa, podaci su od 01.06.2025 do 15.01.2026 što potencijalno znači da se navodna kompromitacija desila sredinom januara meseca.

Maliciozni akter je postavio navodnu bazu za preuzimanje na forumu. Najavljuje da će sutra postaviti još nešto. Po korisničkom imenu postavljača teme na tom forumu, nagađao bih da je možda sa Kosova.