[VincaSec]

Nakon ransomware napada na brodosplit.hr, uradio sam osnovnu proveru javno dostupnih podataka kako bih utvrdio postoje li indicije o kompromitovanim kredencijalima zaposlenih. Tokom pregleda Hudson baze pojavio se link ka webmail stranici koji, nakon pretraživanja, vodi do login putanje na div.mojsite.com. Na toj stranici se jasno vidi oznaka DIV Group, što odgovara činjenici da je DIV Group vlasnik Brodosplit kompanije.

   

   

   

Upoređivanjem DNS zapisa dobio sam sledeće:

brodosplit.hr

Code:

A : 65.21.84.73 MX : 0 mail.brodosplit.hr. NS : itsrv02.brodosplit.hr. NS : ns1.mojsite.com. TXT : v=spf1 +a +mx +ip4:178.218.166.48 include:mojsite.com include:servers.mcsv.net +ip4:95.216.6.140 +ip4:195.29.236.119 ~all SOA : itsrv02.brodosplit.hr. server.plus.hr. 2025092505 1800 600 3600 100 1:41 PM

mojsite.com / plus.hr

Code:

A : 185.220.27.150 MX : 0 mail.mojsite.com. MX : 0 pmx-telesystems.mojsite.com. NS : ns3.phg.hr. NS : ns2.phg.hr. NS : ns1.phg.hr. TXT : v=spf1 ip4:89.201.164.0/24 ip4:178.218.160.0/20 ip4:185.146.252.0/22 ip4:185.220.25.0/24 ip4:188.93.125.0/24 ip4:188.93.126.0/24 ip4:188.93.127.0/24 ~all SOA : ns1.phg.hr. server.plus.hr. 2025120205 3600 7200 3600000 3600

Na osnovu deljenih NS zapisa i SPF referenci, vrlo je verovatno da se brodosplit.hr hostuje ili delimično oslanja na infrastrukturu mojsite.com / plus.hr, što objašnjava vezu sa subdomenom div.mojsite.com i prisustvo DIV Group brendiranja.


Ipak, iako se ovaj link pojavio u stealer logovima, važno je naglasiti da je sve navedeno samo spekulacija i ne postoji potvrđen dokaz da je ova putanja bila stvarna ulazna tačka napadača.