Kompromitovan snp.org.rs

[VincaSec]

Neko je na Redditu rekao kada udje na sajt snp-a, da ga odmah redirektuje do nekih reklama. 

Kao na primer ovo:
   

Poceo sam da analiziram sajt i primetio sam jedan hiperlink koji sadrzi cudan subdomen
four(.)startperfectsolutions(.)com
   

VirusTotal kaze da je maliciozan.
https://www.virustotal.com/gui/domain/fo...utions.com
   

subdomen vodi do ove IP adrese:
https://www.ip-tracker.org/lookup.php?ip=80.66.79.247
   

Kad sam pretrazio domen na google, dobio sam razlicite izvestaje tog domena koji ukazuju da je maliciozan, Malwarebytes ga blokira. 
   

Domen je povezan sa 4 subdomena, jedan od njih je pronađen na sajtu snp-a.
https://www.virustotal.com/gui/domain/st.../relations
   

[1van]

Sucuri kaže isto: https://sitecheck.sucuri.net/results/snp.org.rs

   

[milos_rs]

Da, mene izredirektovao na gomilu nekih sajtova i na kraju ostao na nekom pornografskom...

   

ali ne uspevam uvek da ga trigerujem, i nisam uspeo sa desktopa nego samo sa mobilnog, i neki prethodni put me redirektovao na kompletno drugačije sajtove

[VincaSec]

Pretrazio sam subdomen na urlquery sajtu i naleteo sam na nekoliko sajtova kod kojih je detekovan isti subdomen.
https://urlquery.net/search?q=four.start...utions.com
   

Preko browserling.com sam proverio subdomen koji sadrzi JavaScript fajl.
   

[milos_rs]

ovo je "šifrovano" sa https://obfuscator.io/

ima i deobfuscator https://obf-io.deobfuscate.io/

rezultat:

   

[VincaSec]

To kada je uklonjen dead code