Ovaj fišing pokušaj mi dospeo od nekoga iz stomatološke branše, stigla im je sledeća poruka preko Vibera na javni broj za kontakt stomatološke ordinacije :
od kontakta koji izgleda uobičajeno ali je očigledno lažan, broj je iz Vijetnama :
Uz poruku je poslata i datoteka health-records-26153-x-ray-pdl kao RAR kompresovana arhiva
retko koji telefon će otvoriti .rar a i ovo nije malver za telefon, očigledno računaju da firma koristi Viber Desktop za komunikaciju i da će pokušati da otvori na računaru, kod nas je prilično čest slučaj da ljudi koriste Viber for Desktop na poslovnom računaru.
Unutar rar fajla se nalazi .bat fajl koji trenutno nema detekcija na VT :
https://www.virustotal.com/gui/file/9b7d...2496edfd8/
izgleda ovako :
Skida sledeću prikrivenu fazu sa https://raw.githubusercontent.com/ud-6/u.../up-1s.png
Skida Python za Windows sa https://raw.githubusercontent.com/mh1-7/...cument.zip
malver je kradljivac podataka odnosno RAT/infostealer, komunicira sa Telegram APIjem za C2
Interesantna metoda inicijalnog upada koji je skrojen za onu profesiju koja čita poruku, inače stomatolog koji je ovo dobio me je zvao jer nije mogao da otvori fajl na mobilnom a ne zato što je sumnjao da je prevara, tako da bi se verovatno inficirao da je otvarao na računaru. Ne bi bila loša zarada od ovih navodnih stomatoloških problema pa je naravno spustio gard i hteo da primi potencijalnu mušteriju, morao sam da mu saopštim loše vesti.
Izgleda da sa ove IP adrese, koja pripada zvaničnim serverima pravosuđa (mail.sud.rs), u poslednje vreme sa te IP adrese se vrše napadi. Prvi izveštaji o ovome na Abuseipdb datiraju još iz 2024. godine. Sistemi za detekciju napada zabeležili su pokušaje "bruteforce" upada na WordPress sajtove i čudne HTTP zahteve koji liče na skeniranje ranjivosti i DOS.
Najverovatniji scenario je da je neki uređaj unutar te mreže zaražen i da se sada koristi kao "bot" za automatizovane napade.
https://www.abuseipdb.com/check/195.222.96.234
https://app.crowdsec.net/cti/195.222.96.234
https://www.virustotal.com/gui/ip-addres.../relations
https://www.shodan.io/host/195.222.96.234
03-12-2026, 02:13 PM
Forum: Odgovor na incidente i svest o bezbednosti
- No Replies
U toku je kampanja posvećena zaštiti podataka o ličnosti pod nazivom ,,Da lično bude bezbedno”. Pokrenuta je sa ciljem da se unapredi svest građana o njihovim pravima u oblasti zaštite podataka o ličnosti, kao i o ulozi kancelarije Poverenika u zaštiti ličnih podataka. Kampanja će trajati dva meseca i uključuje prikazivanje pet video spotova na nacionalnim i lokalnim TV stanicama, kao i objavljivanje promotivnih banera na veb-portalima dnevnog i nedeljnog lista.
zvanično saopštenje: Predstavljanje kampanje Da lično bude bezbedno.
YouTube kanal sa spotovima: https://www.youtube.com/@PoverenikSrbija/videos
Viđali smo bezbroj puta finansijske prevare koje su klonirale sajtove medijskih portala da bi izgledalo što legitimnije, na tim stranicama je neka lažna vest o neverovatnoj zaradi, uvek zloupotrebljavaju lik i delo poznatih ličnosti.
Jedna tema puno dokumentovanih slučajeva takvih prevara je ovde: "Trozal Procvata", "Snažan Portbit", "Lumora Olaksica" itd - finansijske prevare
Ovaj put sam naleteo na jednu prevaru koja koristi klonirani državni sajt i predstavlja se kao državni projekat, a u pitanju je klasična prevara koja pretenduje da je platforma za finansijska ulaganja...
Počelo je od ovog oglasa koji je naravno postavljen od strane kompromitovanog Facebook naloga :
Oglas otvara video reklamu koju na žalost nisam mogao u celosti da sačuvam ali imam jedan deo snimljenog ekrana koji možete pogledati ovde na mreži X (video reklama je drugi video koji krene da se pušta, prvi video je na samoj stranici) : https://x.com/milos_rs_/status/2031839527052963864
Oglas je "rađen po meri" za današnji dan gde se spominje današnji datum 11.03.2026. da bi izgledalo legitimnije. Na samom sajtu je ipak drugi datum, 11.11.2025, što znači da ovakva ili slična kampanja verovatno traje od tada, prevaranti imaju običaj da recikliraju ove AI generisane video snimke.
Klikom na link koji se nudi uz reklamu dobijamo klonirani sajt Vlade Republike Srbije sa sajta srbija.gov.rs. Sajt pretenduje da je "zvanično odobreno od strane državnih organa" i koristi lik i delo poznatih ličnosti u pokušaju davanja validnosti celoj lažnoj priči :
https://digieflex.com/
Domain Name: DIGIEFLEX.COM
Registry Domain ID: 3072929327_DOMAIN_COM-VRSN
Registrar WHOIS Server: whois.namecheap.com
Registrar URL: http://www.namecheap.com
Updated Date: 2026-03-09T12:37:02Z
Creation Date: 2026-03-02T12:57:42Zkad se unesu podaci u formular šalje ih na digieflex .com/lander/integration.php
pa otvara lintispm .com/sdk/v1/flow/go/215/9e1eb320-5fb0-4012-b685-16ee512cb44d
koji redirektuje na chf-login-net .net/api/v1/brokers/login/redirect.php?signupID=Yc78nnHBXasuDVzkzucxI2w59kEAdL2RRHJObdbNiSeUG2GF7
sve je iza cloudflarea osim ovog:
chf-login-net.net has address 213.111.155.198pa se dobije ovo brojanje do povezivanje sa "platformom" :
pa otvara jednu od "platformi", tokom više pokušaja su mi se otvarale razne stvari, uglavnom sa greškom ili nisu radile, ova je jedina uspešno otvorena stranica :
Ovo je ista platforma na istom domenu kao i druge koje su pokrivene u objavi linkovanoj na početku ovog teksta. Zove se "Trading Point Online", otvara link client.investtrading .co/#/deposit sa parametrima koji unapred popunjavaju podatke koji su ranije uneti na lažnoj stranici Vlade Srbije.
Kada se domen otvara bez adekvatnih parametara i referala dobije se lažni kopirani sajt Privredne Komore Srbije :
Danas oko 10:20 i u trajanju od oko 2 sata nije bilo moguće obaviti IPS plaćanja.
NBS: Instant plaćanja privremeno nedostupna, radi se na rešenju
Quote:Narodna banka Srbije objavila je danas da zbog trenutnih tehničkih poteškoća u radu IPS NBS sistema plaćanje putem instant naloga privremeno nije dostupno.
Instant plaćanja ponovo dostupna, saopštila Narodna banka
Quote:Kako su naveli, sistem se stabilizuje, a plaćanje putem instant naloga je ponovo dostupno.