[milos_rs]

Na sajtu postoji clickfix kompromitacija samo što se trenutno ne aktivira...

Pri poseti sajt šalje upit na Polygon pametan ugovor...

   

Odgovor nije domen u čistom tekstu nego enkriptovan XOR-om čiji ključ se nalazi u ubrizganom kodu na sajtu :

   

Ovaj zamagljeni kod:

1. filtrira internet tragače, prikazuje se samo pretraživačima sa User-Agentom koji se identifikuje kao Windows operativni sistem
   
2. Koristeći Etherhiding sa Polygona dobavlja adresu domena za učitavanje sledeće faze
   
3. učitava sledeću fazu sa dobijenog domena uz dodatak '/js/all.min.js?m=1'u kontekst stranice i izvršava javascript kod koji verovatno pokazuje Clickfix stranicu
   

Domeni dobijeni od blokčejna su :

Code:

assetwaveapp[.]com bannerware[.]net trackbaseneo[.]net

Sva tri domena su suspendovana i imaju serverHold status te ne učitavaju ništa. Pametni ugovor je ažuriran pre 18 dana i izgleda napušteno: https://polygonscan.com/address/0xa1cb58...1Ab6869cBE ali adresa koja ažurira pametni ugovor ima sveže pametne ugovore koji možda služe za nove kampanje, samo bi morao prvo da ažurira pametni ugovor u kodu na ovom sajtu da bi funkcionisalo.

adresa sa koje se stvaraju pametni ugovori: https://polygonscan.com/address/0xc21D99...aE47867700