Imajući u vidu trenutnu situaciju u društvu, monitoring tim SHARE Fondacije složio se da će studentske blokade i targetirana upotreba špijunskih softvera od strane nadležnih organa u Srbiji, biti jedine teme koje će biti obrađene u ovom tromesečnom izveštaju. Većina registrovanih slučajeva u ovom periodu svakako se odnosila na ove teme i fokus na njih odražava našu solidarnu podršku studentskim zahtevima, kao i podršku novinarima i aktivistima izloženim nezakonitom špijuniranju. 

Evo jedan novi smišing

   

Još neki očigledno maliciozni domeni su na istoj IP adresi:



stranica izgleda ovako:

   

Operacija Black Basta Ransomware-as-a-Service (RaaS) pojavila se u aprilu 2022. i odnela je mnoge žrtve visokog profila širom sveta, uključujući zdravstvene kompanije i državne firme.

Nepoznati "procurelac" je objavio ono za šta tvrdi da je arhiva internog ćaskanja na Matrix serveru koji je pripadao operaciji Black Basta. 

Arhiva koja je procurila sadrži poruke razmenjene u internim sobama za ćaskanje Black Baste između 18. septembra 2023. i 28. septembra 2024. i sadrže širok spektar informacija, uključujući šablone za fišing i e-mail adrese na koje ih treba poslati, adrese kriptovaluta, kredencijale žrtava i taktike upada u žrtve.

Više o tome na Black Basta ransomware gang's internal chat logs leak online

---

Da vidimo šta ima u arhivi a vezano je za Srbiju...

Najzanimljiviji deo je možda ovaj gde se spominje potencijalno neuspeli upad u "Srbija gov", nisam siguran da je dalji tok poruke posle ovog "сербия gov зашел" vezan za istu temu, deluje da jeste ali ne mora da znači (EDIT: verovatno nije povezan). Dalje nisam našao nešto relevantno u konverzaciji ali je teško ispratiti o čemu se priča i nemam vremena trenutno da se udubim u ceo chat, pa ako otkrijem nešto novo ažuriraću pronalazak...

AŽURIRANO: u novom komentaru dole na ovu temu sam dodao indikacije da je u pitanju bio navodni pristup VPN-u Privredne Komore Srbije


   

---

Poruka koju je jedan akter u četu nazvao "линки для пдф" odnosno "linkovi za PDF" sadrži neke verovatno kompromitovane domaće sajtove koji su služili za fišing u ransomware kampanjama ove ekipe, ne nužno za žrtve u Srbiji nego po celom svetu:


25. septembra 2023 na ovoj /fil/ lokaciji je postojao falj :

   

   

   

Iako URL jeste u VirusTotal bazi, hash od samog fajla nema detekcije što može značiti da je nešto napravljeno ručno po narudžbini. XLL je Microsoft Excel add-in koji je nesumnjivo maliciozan i služi za dalje inficiranje računara na kojem se otvori. Više o tome kako se upotrebljavaju XLL za maliciozne svrhe: How Attackers Use XLL Malware to Infect Systems

Drugi spomenuti .RS linkovi su:


   

Quote:Activity related to DARKGATE - according to source Cluster25 - 1 year ago
This DOMAIN is used by DARKGATE. DarkGate, a Delphi-based malware categorized as a loader, sold on underground markets. It offers advanced features for maintaining control over infected systems. The author touts it as a unique and efficient loader in the cybercriminal market

   

---

Koristili su RDWeb usluge sa kompromitovanim kredencijalama, među njima je bio i RDWeb domaće firme melany.rs

Takođe su često delili kompromitovane kredencijale, među njima su bili i neki domeni iz Srbije:

za vpn-rw.ha.rs ukupno 2 različite kompromitovane kredencijale
za iskra.gov.rs ukupno 3 različite kompromitovane kredencijale
za iskra.mfin.gov.rs ukupno 3 različite kompromitovane kredencijale

---

Još jedan spomen Srbije za koji nemam kontekst je ovaj:

   

U pitanju je "Japanese keyword hack" malver kompromitacija gde maliciozni akteri ubacuju neželjene japanske stranice na sajt pa kada Google indeksira sajt će biti rangiran za te (japanske) ključne reči. Malver tako koristi sajt da poveća rangiranje drugih veb lokacija. Ovo je tipična taktika koju maliciozni akteri koriste da promovišu stranice i proizvode koji se obično ne bi dozvolili pod Google oglasima ili pravilima pretraživanja, ili za jednostavno dizanje ranga svog sajta na guglu.

Uobičajeno je da je sajt u potpunosti preuzet od strane malicioznih aktera, da redovni admin ne može da se uloguje na CMS admin, u ovom slučaju Wordpress. Moguće je i preuzimanje Google Search Console naloga radi dalje optimizacije kampanje.

---

Sajt na guglu izgleda ovako:

   

robots.txt je kompromitovan i vodi ka gomili velikih sitemap fajlova koji dalje guraju kompromitovane stranice sa sajta:


   


i jedan primer, svi maliciozni sitemap fajlovi su slični:


   


Obični korisnik vidi redovan izgled sajta i ne zna da je bilo šta čudno, ali ako pristupate sajtu sa User-Agentom gugl bota dobijete sledeće i to je ono što gugl indeksira :


   

   

   

---

Kako dolazi do ovakve kompromitacije i kako je rešiti?

Verovatno najčešći slučaj je usled neažuriranih i starih verzija Wordpressa, WP plugina i WP tema. Moguće je i preko loših i lako pogodivih šifara za wp-admin

Najbolje rešenje u ovom slučaju je kompletna reinstalacija WP-a ili povratak iz bekapa pre kompromitacije, kao i ažuriranje svega što ima poznate ranjivosti, uz dodatno korišćenje boljih i jedinstvenih šifara za administraciju sajta. Mada moguće je i ukloniti ručno sve delove malvera koji kreira ove stranice jer se mogu naći razni vodiči za uklanjanje ovakvih kompromitacija.

Relevantne verzije na sajtu, sve je prilično ažurno osim Avada teme koja je baš stara i veoma je moguće da je tu neka poznata ranjivost iskorišćena za kompromitaciju...

Ciljani mejl stiže na adresu koja je povezana sa domenom, da li sa sajta ili preko WHOIS-a nađu ko je registrovao ako taj podatak nije privatan pa onda sa sajta registranta nađu mejl. 

Ovaj način prevare je izuzetno opasna jer stiže do nekoga ko ima interes u domen koji će da istekne pa se lakše može upecati. Meni izgleda da samo kradu novac i nešto naplate ali nemam funkcionalan link da proverim šta tačno rade.

   

domeni povezani sa ovom prevarom:

hostingseo24[.]com
hosting-seo[.]top
hostingseo[.]net
hosting-seo[.]net
hosting-seo[.]org

---

ovako izgleda stranica kada se otvori, ovo sam našao iz prethodnih prevara:

   

Razlog su zastarjele verzije wp plugina.

   

Takodje, directory browsing
   

https://www.mapchecking.com/

Apropos aktuelne tematike koliko ljudi negde jeste ili nije bilo prema softverima koji broje prisutne na nekoj površini, a budući da civilima isti nisu dotupni, ovaj alat je odlično sredstvo za utvrđivanje koliko je fizički uopšte moguće ljudi da se na nekom prostoru nađe prema jednostavnoj podeli obeležene kvadrature sa brojem prisutnih po metru kvadratnom.

Traži malo odokativniju procenu i ima da se ide pešaka, ali to nije ništa na šta se već svako u OSINT nije navikao.

Ispod samog brojača se nalazi grafička ispomoć za vizuelizaciju toga kolika je zapravo gužva kada se dvoje ljudi nađe na jednom metru kvadratnom.

http://www.ostorka.org.rs/lovastalalkozo/ - aktivno
   
   

https://www.dksg.rs/lat/izmena-u-filmskom-programu/ - aktivno
   
   

http://www.kompresor.rs/morocco.html - aktivno i dalje