Stavljam u ovu kategoriju za sada jer nemam potvrđene informacije. Nepotvrđeno je da je Telekom imao neke planirane radove na UPS uređajima u data centru i da se nešto desilo što je dovelo do kratkotrajne potpune obustave interneta na MTS-u a dugotrajnije do potpune nefunkcionalnost sajtova koji su hostovani na Mainstream Public Cloud-u koji je možda u delu data centra koji je pogođen prekidom.

U 22:14 (vreme na donjoj slici je UTC) dolazi do potpunog prekida interneta na MTS optičkom kućnom internetu. Ovaj prekid traje 2 minuta i u skladu je sa vremenom da se pokrene neki automatizovani failover ili upali generator da pokrije probleme sa strujom, ali ovo su samo nagađanja. Na slici je monitoring koji preko Wireguard tunela sa javnog interneta gađa uređaj iza MTS optike.

   

Pri povratku interneta primećeno je na društvenim mrežama i drugde da određeni sajtovi ne rade. Neki od sajtova :

Preko sajtova koji ne rade došao sam do zaključka da ne radi sve što je hostovano na Mainstream Public Cloud-u, mada nije isključeno i da postoje drugi provajderi koji su imali problem.

Na https://downdetector.rs/  je bilo dovoljno prijava da ukazuje na problem :


   

   

Iz inostranstva takođe nije bilo moguće pristupiti sajtovima :

   

Sajt Air serbia takođe nije radio, iako su iza Cloudflare-a očigledno su hostovani u data centru gde je izbio problem :

   

U nekom trenutku oko 22:45 BGP oglašavanje za 185.29.102.0/24 je izgledao ovako što je neuobičajeno malo uzvodnih provajdera :

   

Ne znam da li je ovo slučajno ili su nešto pokušavali, ali treba da izgleda ovako dakle bili su izgubili vezu sa MTS-om :

   

Od Mainstream IP opsega jedini koji sam našao da je funkcionisao je 91.222.7.0/24, tu se između ostalog nalazi jedan od DNS servera za ha.rs uslugu, i jedini koji je funkcionisao dok je trajao prekid.

Neki od pogođenih su se oglasili :

   

   

neproverene informacije o prekidu :

   

U nekom trenutku dok je ovo trajalo nije bilo moguće ulogovati se na sajt eUprave, ne znam da li je povezano sa Telekomovim prekidom ili je nešto drugo u pitanju :


   

Balkan Insight: As they veer from the path of European Union integration, governments in Georgia and Serbia have both wielded invasive surveillance technology against pro-democracy protesters.

Samo jedan dan posle kompromitovan mejl [email protected] - šalje malver imamo dokaze o novoj kompromitaciji i zloupotrebi gov.rs resursa.

Ovaj put je to mejl adresa Zavoda za socijalno osiguranje koji spamuje lažni mejl predstavljajući se kao DHL uz malver prilog :

   

Napadač se opet povezao preko SMTP Autentifikacije što znači da je imao username i šifru za ovaj nalog.

   

Prilog je https://www.virustotal.com/gui/file/2cc7...b31602b949 i pokušava da učita dalji exploit sa iste IP adrese kao i SPAM od juče:  91.98.115.116.

   

Izgled priloga je isti "dokument" kao i onaj od juče ali je nešto izmenjeno jer mu hash nije isti :

   

Spamovalo se u nekom dužem intervalu, imao sam uvid u više identičnih poruka poslatih na različite mejlove :

   

Neverovatna stvar u ovoj priči je da se spamer povezuje sa iste IP adrese kao juče, da ovi u državnom IT-u nisu sposobni da blokiraju IP adresu kada primete da ih napada. 

Neko je ovo uradio preko Windows mašine na toj IP adresi :

   

HR CERT - UPOZORENJE: Stranice koje imitiraju sustav e-Građani

   

Quote:Cilj prijevare: krađa osobnih podataka i ostvarivanje financijske koristi
Stranice su kreirane s ciljem krađe pristupnih podataka, vjerodajnica i podataka mobilnog bankarstva (token) za prijavu u sustav.

Nova kompromitacija i zloupotreba gov.rs e-mail adrese, ovaj put od Zavoda za sport i medicinu sporta Republike Srbije, konkretno e-mail adresa koja pripada Hotel Trim.

Početkom meseca je bila kompromitovana druga gov.rs mejl adresa: kompromitovan mejl [email protected] - spamuje fišing prevare

Spamer je preko SMTP servera koristeći SMTP autentifikaciju odnosno username i šifru slao ko zna koju količinu mejlova. Sreća u nesreći je što izgleda da je ovo nekakvo automatizovano spamovanje i da niko nije ručno pregledao kakvom domenu je dobio pristup da prilagodi kampanju nego šalje neke generičke pokušaje :

   

   

prilog je https://www.virustotal.com/gui/file/079f.../detection

   

Otvara se u WORD-u i izgleda ovako :

   

Kad se dokument otvori pokušava da dalje otvori minily .org/jB0C7E7PnP koji redirektuje na https 91.98.115.116 sa kojeg se učitava drugi exploit  https://www.virustotal.com/gui/file/7a1e...4d/details :

   

   

   

Sajt eUprave je opet žrtva klasičnog i dosta rasprostranjenog spam napada gde se zloupotrebljava sajt da bi se određeni sajtovi plasirali i bolje kotirali na guglu, ovaj propust je poznat kao Japanese SEO keyword hack samo što su ovde izgleda ključne reči na korejskom u pitanju.

Praktično isti propust sam otkrio još 2024. godine takođe na sajtu eUprave gde se zloupotrebljavao link za pretragu https://euprava.gov.rs/pretraga i taj propust je detaljno opisa na temi euprava.gov.rs širi spam na guglu zbog neadekvatne zaštite i nije više aktuelan, propust su rešili na meni nepoznat način. jer još uvek nemaju robots.txt na sajtu.

Ovaj put se identična stvar dešava sa putanjom https://euprava.gov.rs/RedirectToLocalizedContent i zapravo ovo se verovatno dešavalo još davno.

Kako to izgleda na samom guglu:

   

Gugl kaže da postoji oko 21,000 indeksiranih stranica sa ovom putanjom :

   

Kako izgleda na sajtu euprave kada se otvori neki od ovih linkova, mada je ovo manje bitno ali pokazuje da link RedirectToLocalizedContent preusmerava na /pretraga što može biti još jedan dokaz da ovo postoji još od prethodnog otkrića a verovatno i ranije  :

   

Preporuke za rešavanje su iste kao i na prethodnoj temi iz 2024... postaviti robots.txt fajl da se te stranice ne indeksiraju.

Poslednji link na ovom spisku linkova je savariver.net "Reka Sava - pilot projekat rečnog sliva" :

   

Ovaj link otvara nekakvu stranicu napravljeu za SEO linkova kao što su online kladionice i eskort usluge :

   

Koliko sam video listajući na archive.org ovaj sajt je menjao ruke više puta među raznim kazino SEO promoterima, od 2015. do danas. Pre toga je bio nekakav PACE edukativni sajt. HIDMET sajt linkuje ka njemu od minimum 2008. godine sve do danas kada je link uklonjen.

Ubaciše me iz vedra neba u grupu za YouTube "posao" na Viber-u pa da malo vidimo kako to izgleda. Ova grupa je praktično levak da te odvuče na Telegram. Svi koji objavljuju nešto u grupi su deo prevare sa lažnim svedočenjima o navodnim zaradama...

povezane teme :

"YouTube grupa za honorarno zapošljavanje" - prevara
Hiding Behind Telegram, Pay-Per-Like Scammers Hook Unwitting Serbians

Ubacio me neko iz Vijetnama :

   

Na grupi objavljuju "Moderatori Jutjuba" navodno iz Francuske :

   

Uvodna reklama :

   

   

   

Sav razgovor koji se odvija u grupi je između prevaranata sa lažnim identitetima, znate onu tradicionalnu prevaru na ulici gde treba da pogodite ispod koje kutijice je kliker da bi dobili novac a ljudi koji pobeđuju ispred vas da bi vas privukli su deo prevare? Ista priča i ovde...

Stefan je dobio pare na svoj domaći račun! 

   

Ali Stefan je iz Grčke!

   

Tanja takođe iz Grčke je dobila svoju "zaradu" na NLB banku :

   

   

Grčko ime Savić takođe zaradio i primio navodnu uplatu na Raiffeisen :

   

   

Sve se gura na Telegram zbog manje kontrole i manje šanse da im ukinu naloge i kanale :

   

Inače Viber je suspendovao grupu 2 sata posle otvaranja što i nije loše...

na telegramu izgledaju ovako :

   

   

Verovatno su isti ljudi iza prevare kao na "Gazinvest" platformi pokrivenoj na ovoj objavi: "Trozal Procvata", "Snažan Portbit", "Lumora Olaksica" itd - finansijske prevare jer na kraju otvara istu "investicionu platformu" sa istog domena. Izdvajam je u odvojenu objavu zbog zvučnog imena platforme u cilju da joj daje kredibilitet i zbuni ljude da je u pitanju prava Beogradska Berza - BELEX.

Ima više oglasa sa AI generisanim video snimcima koji obećavaju kule i gradove :

   

   

snimak ekrana iz videa:

   

link otvara lažni BLIC :

   

   

   

i "zvaničnu" registraciju na BELEX :

   

cela stranica :

   

kad se popune podaci dobije se :

   

ali brzo redirektuje na nekakvu "platformu" sa identičnim domenom i straincom kao druga prevara linkovana na početku ovog teksta :

   

---

Stranice na fejsu za divno čudo izgleda nisu kompromitovane nego su napravljene od nule sa sve lažnim pratiocima i objavama :

   

   

ovaj link na stranicama officialguide .xyz/?flow=gpt zapravo otvara istu lažnu BELEX stranicu.

našao sam još FB stranica sa istim linkom, link verovatno otvara različite stvari u zavinosti od lokacije...

   

   

Zanimljiv je i propratni tekst na kineskom sa video snimkom kada se snimak sačuva na FB-u :

   

što znači "Shanxi Ximu Network Technology Co., Ltd." i po onome što sam našao to je neka firma iz Kine koja više ne postoji, možda je postavljeno da zavara trag ili slučajno...