04-02-2025, 11:23 AM
Forum: Odgovor na incidente i svest o bezbednosti
- No Replies
Forbes: Novinari i aktivisti, kako da se zaštitite od modernih špijunskih softvera
video: CDT - Špijunski softveri. Nezakoniti online nadzor. Informacije i savjeti.
Quote:Digitalna sigurnost je vaša odgovornost. Ako ste novinar, aktivista ili neko ko istražuje osetljive teme – ne oslanjajte se na sreću. Špijunski softveri postaju sve napredniji, ali dobra digitalna higijena može značajno smanjiti rizik.
Mejl server od domena @vodars.org koji se nalazi na mail.vodars.org koristi izuzetno staru Zimbra E-mail platformu:
Datum kopirajta 2017. a ažuriranje iz 2019:
* ID ("NAME" "Zimbra" "VERSION" "8.8.12_GA_3866" "RELEASE" "20190912065452")Ova verzija je odavno van podrške:
Quote:End of General Support 12/31/2019
Pošto se mejl adrese @vodars.org indirektno koriste u spam kampanjama, moguće je da je server kompromitovan. Više o tome na temi opet kompromitovan mail.mojdoktor.gov.rs - šalje malware spam
Izdvojiću ovu temu od prethodne opširne mojdoktor teme u kojoj su dokumentovane česte i neprekidne kompromitacije mejl naloga sa @mojdoktor.gov.rs preko kojih su maliciozni akteri slali mejlove sa malware prilozima.
Izdvajam jer su to bile kompromitacije kredencijala mejl naloga preko kojih se slao spam mejl koristeći Zimbra webmail platformu od mail.mojdoktor.gov.rs. Ova nova kompromitacija se značajno razlikuje od te prethodne. Za više detalja prethodne kompromitacije: Kompromitovan mojdoktor.gov.rs
Sve počinje od ovog mejla:
Mejl navodno dolazi od [email protected] a domen je od Javne ustanove "Vode Srpske" iz Bijeljine.
Kada pogledamo headere vidimo da je mejl zapravo došao sa melj servera mail.mojdoktor.gov.rs :
I ne samo da je došao sa mejl servera od MojDoktor, nego ovaj @voders.org mejl deluje nebitan za priču jer je mejl došao sa IP adrese 104.245.245.84 što nije mejl server od voders.org
U headerima vidimo da je mejl pristigao koristeći Postfix servis dakle direktan pristup od spolja bez prolaska kroz Zimbra webmail interfejs kao prethodna kompromitacija...
Received: from [104.245.245.84] (unknown [104.245.245.84])
by mail.mojdoktor.gov.rs (Postfix) with ESMTPSA id C88F65527FFE
for <[email protected]>; Tue, 1 Apr 2025 06:13:10 +0200 (CEST)Takođe nema evidencije u headerima da je korišćen neki mojdoktor.gov.rs nalog za slanje mejla... mejl server ne dozvoljava open relay slanje dakle onaj ko je slao se morao autentifikovati ili mu je nekako IP adresa morala biti u dozvoljenim pošiljaocima.
za IP adresu sa koje je došao mejl nisam našao žalbe na internetu, jedino sumnjivo je što ima otvoren Remote Desktop:
Attachment je maliciozan: https://www.virustotal.com/gui/file/9929...91ff2c9722
Ostaju otvorena pitanja:
- Zašto je mail.mojdoktor.gov.rs prosledio mejl sa te IP adrese iako ne bi trebalo jer nije open relay?
- Zašto je korišćen baš [email protected] kao pošiljalac iako nije došlo sa voders.org servera?
Sam mejl server mojdoktor.gov.rs koristi Zimbra platformu:
kao datum kopirajta piše 2022. godinu. Ako pogledamo verziju servera imamo šta da vidimo:
* ID ("NAME" "Zimbra" "VERSION" "9.0.0_ZEXTRAS_20221203" "RELEASE" "20221216110457")Ovo je poprilično stara verzija. Znamo iz druge mojdoktor kompromitacije da je 14-02-2023 bila verzija 8.8.15_GA_3829 koja je tada takođe bila stara. Podrška za trenutno korišćenu verziju je istekla pre godinu dana! :
Quote:Zimbra 9.0.0 End of General Support: 03/31/2024
Usput je otkriveno i da Javna ustanove "Vode Srpske", Bijeljina koristi izuzetno staru verziju istog mejl servera, više o tome na [BA] vodars.org - Javna ustanove "Vode Srpske", Bijeljina - stara ranjiva verzija
U ovom trenutku mogu samo da špekulišem kako je došlo do ovog slanja mejla, najverovatnija teorija mi je da je neko uspeo da ubaci IP adresu u spisak IP adresa kojima je dozvoljeno relay slanje preko Zimbra Postfix servera na mail.mojdoktor.gov.rs.
Ovo je verovatno uspeo preko neke ranjivosti u ovoj staroj verziji Zimbre koja mu dozvoljava da uploaduje fajl po svojoj volji. Verovatno je prvo ubacio neki web shell pa preko njega vršljao po fajl sistemu i editovao konfiguraciju Zimbre, omogućavajući sebi slanje preko te IP adrese. Ako je web shell u pitanju to znači da ima pristup sadržaju celokupnog fajl sistema ili barem onog dela koji može da vidi nalog pod kojim je pokrenut web server.
neke od ranjivosti na ovoj verziji:
Ostavljajući staru verziju mejl servera ili bilo čega drugog čak godinu dana posle isteka podrške je neodgovorno i krajnje sramotno. Ova platforma ima čitav istorijat kompromitacija i korišćenja za spamovanje, i naravno svi se prave ludi već godinama.
IDDEEA je deo Agencije za identifikacione dokumente, evidenciju i razmjenu podataka BiH a e-mail je bio notifikacija da je izašla nova verzija njihove aplikacije.
navodno:
neko je okačio skrinšot na mrežu X :
ali na kraju ipak nije bilo ništa:
geosrbija.rs je unreachable
logicno probam www.geosrbija.rs prvo flesne da je istekao cert prosle godine (29.10.2024)
zatim redirektuje na tmp.geosrbija.rs za koji takodje logicno nema sertifikata jer je istekao...
osim toga a3.geosrbija.rs je unreachable (timeout), kao i android app
zanimljivo je da kroz curl ne detektuje redirekciju vec vraca 403 forbidden + server token 
asocirane IP adrtese:
geosrbija.rs 93.87.56.181
www.geosrbija.rs 93.87.56.28
tmp.geosrbija.rs 93.87.56.28
a3.geosrbija.rs 93.87.56.139
Forenzička analiza Amnesty Internationala potvrdila je da su dve novinarke BIRN-a bile mete neuspelog pokušaja instalacije moćnog izraelskog špijunskog softvera Pegazus na njihove telefone. Poruka na srpskom jeziku, sa zaraženim linkom, poslata je putem Vibera sa broja registrovanog u Telekomu Srbija
Drugi medijske reportaže:
N1: Dve novinarke BIRN-a na meti špijunskog softvera: Napadači koristili lažnu N1 stranicu
Amnesty ENG: Serbia: BIRN journalists targeted with Pegasus spyware
Amnesty SRB: Srbija: Novinarke BIRN-a mete špijunskog softvera Pegasus
21.03.2025 maliciozni akter je stavio na prodaju ukradene podatke sa Oracle Cloud SSO i LDAP (tehnologije koje se koriste za autentifikaciju na Oracle Cloud platformu).
Uzeto i pušteno na prodaju se sadrži od:
Quote: Java Key Store (JKS) files: Stores cryptographic keys and certificates for Java applications.
Encrypted SSO passwords: Used for Single Sign-On; compromise may allow unauthorized access.
Encrypted LDAP passwords: Used for directory authentication; compromise may allow unauthorized access.
Enterprise Manager JPS keys: Manage access and encryption in Oracle Enterprise Manager.
Postavljeni su uzorci kao i spisak od oko 140,000 pogođenih kompanija u formi njihovih domena:
Šifre su enkriptovane pa bi uticaj trebao biti minimalan, mada nikad ne treba isključivati velike farme za krekovanje šifara. Savet je svima koji se nalaze na ovom spisku da promene sve kredencijale vezane za Oracle Cloud usluge.
Pošto znamo da država koristi Oracle Cloud i da Oracle Cloud ima prisustvo u Državnom Data Centru, izvukao sam spisak svih domaćih pogođenih domena i ima veoma zvučnih imena, takođe su na istom spisku i privatne firme :
airserbia.com
intersoftsubotica.co.rs
osa.rs
digit.co.rs
asseco-see.rs
mg.rsi.co.jp
deltaholding.rs
eps.rs
stampa.rs
matf.bg.ac.rs
silo-jelicic.rs
axians.rs
ewe.rs
chipcard.rs
btr.rs
fadata.rs
poincare.matf.bg.ac.rs
smarttehnologysolution.co.rs
posta.rs
saga.rs
tritonit.rs
sokoj.rs
sbb.rs
olafmcateer.rs
biznislink.co.rs
marker.rs
snt.rs
smartvision.rs
beogradskonasledje.rs
medigroup.rs
asit.rs
metropolis.rs
oneway.rs
autocacak.co.rs
porsche-ada.rs
amisys.rs
unimet.rs
boost.rs
mds.rs
alfanum.co.rs
knowit.rs
crowe.rs
mainstream.rs
automatika.imp.bg.ac.rs
temposoft.rs
pupin.rs
flaner.rs
yettel.rs
cpm.rs
combis.rs
ems.rs
sistemi.rs
nshotels.rs
tezisintegra.rs
magnetic.rs
mqsoft.rs
terieng.co.rs
energosoft.rs
prointer.rs
autogarant.rs
eunet.rs
itsnetwork.rs
braineering.rs
hotelpremier.rs
connectit.rs
pio.rs
hemofluid.rs
aigo.rs
dct.rs
micros.rs
netcom.rs
cetin.rs
generali.rs
oktacron.rs
trezor.gov.rs
mfin.gov.rs
its.rs
nites.rs
telekom.rs
yunycom.rs
teamedical.rs
dts.rs
ec-logistics.rs
candy.rs
vms.rs
inception.rs
eurotrans.rs
rrc.rs
sberbank.rs
toyota-centar.rs
parallel.rs
puregreen.rs
ite.gov.rs
cad.gov.rs
hellenic-petroleum.rs
euromedicina.co.rs
technoline.rs
sbs.rs
agriser.rs
creditagricole.rs
fluidra.rs
megatrend.rs
odyssey.rs
nbs.rs
digimed.rs
isb.rs
fluid.contitech.rs
albon.rs
lasta.rs
mapei.rs
dtl.rs
ibis-solutions.rs
strauss-group.rs
sanu.ac.rsOstatak regiona je takođe pogođen:
Bosna
gauss.ba
infostudio.ba
zira.com.ba
globtour.ba
bstelecom.ba
etf.unsa.ba
artcogroup.ba
intersped.ba
creativa.ba
aktonline.ba
bih.net.ba
disti.ba
ekopak.ba
recro-net.ba
core.ba
hotelbjelasnica.ba
akta.ba
sst.edu.ba
teamwork.ba
komorabih.ba
securitas.ba
communis.ba
ssst.edu.ba
optima.ba
post.ba
nexis.ba
almy.ba
saasolutions.ba
fis.ba
mibo.ba
bbs.ba
burgerking.ba
radonplazahotel.ba
hotelaziza.ba
ping.ba
asabolnica.ba
roamingnetworks.ba
dunav.ba
novotel.ba
srcezadjecu.ba
bilog.ba
net.com.ba
bhtelecom.ba
diamedic.ba
iddeea.gov.ba
mf.ks.gov.ba
mojit.ba
bring.out.ba
sirius2010.ba
hera.ba
toyota.ba
mega-net.ba
ak2.ba
in2.ba
trezorsb.com.ba
link.ba
sparkasse.ba
unicreditgroup.ba
asholding.ba
klas.ba
jpautoceste.ba
pivara.ba
tel.net.ba
partner.ba
infosys.baHrvatska:
in2.hr
snt.hr
king-ict.hr
koncar-ket.hr
net.hr
mcs-informatika.hr
hroug.hr
inis.hr
hep.hr
oktal-pharma.hr
infosistem.hr
infinum.hr
poslovi.hr
electus.hr
vmd-promet.hr
aquilonis.hr
hotel-dubrovnik.hr
efzg.hr
tridea.hr
sixt.hr
eventi.hr
3bb-promotion.hr
pmfst.hr
amcham.hr
wiener.hr
ferit.hr
talentarium.hr
algebra.hr
levelup-consulting.hr
benefitsystems.hr
epu.hr
koncar-mk.hr
login.hr
cs.hr
specialis.hr
tonga.hr
rijeka-airport.hr
hujak.hr
czd.hr
ipc.hr
alh.hr
brodmoravice.hr
croatianmint.hr
combis.hr
hzjz.hr
airport-dubrovnik.hr
neo.hr
neos.hr
isd.hr
dekod.hr
kodilion.hr
asseco-see.hr
majatik.hr
versoaltima.hr
point.hr
tis.hr
znjan.hr
a1.hr
zubakgrupa.hr
ekonerg.hr
databox.hr
laserline.hr
evolve-strategy.hr
hashcode.hr
bilog.hr
carnet.hr
multisoft.hr
alveo.com.hr
stsi.hr
mirovinsko.hr
infoprojekt.hr
linux.hr
admiral.hr
osmibit.hr
primat-informatika.hr
computech.hr
istratech.hr
hko.hr
medilab.hr
teched.hr
lalog.hr
hnb.hr
infoart.hr
kras.hr
deepit.hr
candy.hr
ak-varazdin.hr
datadomain.hr
kbcsm.hr
n-lab.hr
trikord.hr
hac.hr
transeast.hr
soto-vento.hr
marina-punat.hr
essilor.hr
sklad-savjetovanje.hr
email.t-com.hr
altagena.hr
altin-usluge.hr
epitychia.hr
i-s.hr
tcz.hr
toyota.hr
crosig.hr
acquaint.hr
abcinfo.hr
optima-telekom.hr
tvz.hr
teb-informatika.hr
akd.hr
apis-it.hr
hexis.hr
fluidra.hr
infodom.hr
vef.hr
mps.hr
e-mondo.hr
securitas.com.hr
pakrac.hr
mapei.hr
t.ht.hr
iticomputers.hr
multicom.hr
reroot.hr
uljanik.hr
ducal.hr
jambrek.hr
intereuropa.hr
hstransporti.hr
obala.hr
niko.hr
gp-krk.hr
unicreditgroup.zaba.hr
ris.hrMakedonija:
infosoftsystems.mk
marand.com.mk
amcham.com.mk
lancom.com.mk
zavar.com.mk
neting.mk
king-ict.mk
its-sk.com.mk
snt.mk
avicena.com.mk
expecta.mk
ultra.com.mk
dendrocentar.com.mk
infinitygroup.mk
oms.com.mk
amphenol.mkSlovenija:
osi.si
triglav.si
abakus.si
marand.si
osir.si
zav-mb.si
snt.si
infonet.si
abanka.si
isa.si
in2.si
container.si
telekom.si
smartis.si
kontron.si
gora.si
cloud.si
star.si
certe.si
consalta.si
broline.si
clarus.si
dnevnik.si
sititeater.si
posta.si
alldea.si
bowling-spider.si
iskratel.si
pies.si
eksplicit.si
lifeevents.si
f5.si
smm.si
cetrtapot.si
sioug.si
dolina-soce.si
snt-iskratel.si
iteo.si
hrc.si
riko.si
akumen.si
pro-ceraj.si
lika.si
ixtlan-team.si
delo.si
fin-pro.si
advansys.si
alarix.si
result.si
terieng.si
dejavniki.si
integralis.si
bankart.si
src.si
teletech.si
mgv.si
zzi.si
rcc-irc.si
neostech.si
stelkom.si
kopa.si
zav-sava.si
aps.si
creapro.si
maop.si
interexport.si
nek.si
guest.nek.si
irm.si
sij.si
unior.si
kis.si
imagine.si
korsic.si
transmakovec.si
klaut.si
student.uni-lj.si
sb-je.si
void.si
genis.si
toyota.si
toyota-center.si
telemach.si
pri.si
nkbm.si
eprvak.si
kemofarmacija.si
acroni.si
spin-kr.si
cinkarna.si
zenlab.si
vodopivec.si
siliko.si
bf.uni-lj.si
racunalniske-resitve.si
mapei.si
nlb.si
grf.si
intereuropa.si
sicom.si
garex.si
3gen.si
isa-it.siviše detalja: The Biggest Supply Chain Hack Of 2025: 6M Records Exfiltrated from Oracle Cloud affecting over 140k Tenants
Snimak se nalazio na ovom linku i otvarao je izmenjen snimak samo sa mobilnog: informer .rs/tv/live-tv/999146/dokumentarac-peta-kolona
Dešavalo se 21.03.2025
Kako je to izgledalo pogledajte na snimku ovde https://x.com/vladimircicovic/status/190...3134665737