kompromitovan idevoz.rs na Orion web hostingu - hostuje PDFove koji vode na prevaru

[milos_rs]

verovatno ista ekipa kao i za Kompromitovan podsajt Vojske Srbije za kongres, hostuje PDFove koji vode na prevaru

Verovatno je link u nekim spam mejlovima koje ova ekipa šalje okolo u nadi da će neko da klikne

fajl je na idevoz .rs/files/kaxumetanoxi.pdf

   

link ne vodi dalje: feedproxy.google .com/~r/Gsjc/~3/EqozwcbAC44/uplcv?utm_term=femoral+femoral+bypass

drugi, idevoz .rs/files/36986340960.pdf

link takođe ne radi: feedproxy.google .com/~r/MbOu/~3/896FEnmJZlk/uplcv?utm_term=northern+california+mountains

treći link radi: yoyep.co .za/XSRYdR1H?utm_term=splinter+cell+wallpaper

Ne otvara uvek isti sajt, evo jedan primer posle gomila redirekta pre nego otvori:

   

kad se klikne:

   

kad se klikne na provajdera otvara link  tel:+34848865197,43993

posle nekog vremena iskače i sa za svaki slučaj ako tel: link nije uspeo:

   

Ne redirektuje uvek isto i ne otvara uvek isti prevarantski sajt, evo jedan primer redirekta.

koriste za fingerprinting da bi otvarao samo iz browsera:

Code:

/**
* Fingerprint BotD v1.6.6 - Copyright (c) FingerprintJS, Inc, 2023 (https://fingerprint.com)
* Licensed under the MIT (http://www.opensource.org/licenses/mit-license.php) license.
*/

Evo jedan primer redirekta:

thebestprizesapp .com/?u=z9tptem&o=tgdkh0l&t=binom&cid=2c3heb45lkrc7

metpt9z.jarteaused .live/sakrqbhj/?u=z9tptem&o=tgdkh0l&t=binom&cid=2c3heb45lkrc7&f=1&sid=t8~vg2kx43q2nqeqmzijg41ipom&fp=xNMUN%2Fyzql9anryNbX1zJw%3D%3D

evo još jedan daleko veći primer, i to nisam sve ni linkovao ima još gomila između ali isti sajtovi sa drugim parametrima:

vast-conexxion .com/?s=139&t1=326&t2=splinter+cell+wallpaper&t3=2c3heb45lkrfl&t4=pbad

kuualosd.bllthbatnthes .life/?utm_medium=195a7a84693f9dd6d1851d0f90faeef0e8a443c8&utm_campaign=smsep&1=326&2=672a07f7b7d14a904563f846aae0f42d4d27e06c&cid=672a07f7b7d14a904563f846aae0f42d4d27e06c

www .cimentbuilder .one/?sl=5738009-ccc5a&data1=Track1&data2=Track2&tag=M7343982240352698385&website=23985-384ad09c-57bbc8d4&placement=23985

www .unbeliveblesmashin .com/click?offer_id=28963&pub_id=9269&pub_sub_sub_id=9&unique1=5738009-ccc5a&app=opt&app_store_id=ncd&pub_click_id=M7343982240352698385&site=23985-384ad09c-57bbc8d4&pub_sub_id=23985&unique2=Track1&unique3=Track2

traffic.trackingchamps .com/fba73020-a498-4df0-b89d-aaaf7f057b93?source=9269&externalid=BDNa_R4AAAGOHjotVAAAcSMAACQ1AAAAAAAAAAAU

1d7410a9d4d.culinarycreativityhub .com/?p=1086&wid=128305&wid_hmac=58bfd98bab4e9eb8d5cb81c1695d629a&click_id=BG3dziMAAAGOHjo0twAAbu0AACQ1AAAAAAAAAAAU

krajnji sajt s.coollink .info/win?tid=6276vm7vxdsksgyte2tk48woo,15392263,5,1086&ctrack=1709904115.1382645979&p=1086&click_id=BG3dziMAAAGOHjo0twAAbu0AACQ1AAAAAAAAAAAU

   

[VincaSec]

Rezultat skeniranja domena idevoz.rs
https://www.virustotal.com/gui/domain/id.../detection
   

Ovo su svi pdf-ovi koji komuniciraju sa ovim domenom:
https://www.virustotal.com/gui/domain/id.../relations