[milos_rs]

Nova kompromitacija i zloupotreba gov.rs e-mail adrese, ovaj put od Zavoda za sport i medicinu sporta Republike Srbije, konkretno e-mail adresa koja pripada Hotel Trim.

Početkom meseca je bila kompromitovana druga gov.rs mejl adresa: kompromitovan mejl [email protected] - spamuje fišing prevare

Spamer je preko SMTP servera koristeći SMTP autentifikaciju odnosno username i šifru slao ko zna koju količinu mejlova. Sreća u nesreći je što izgleda da je ovo nekakvo automatizovano spamovanje i da niko nije ručno pregledao kakvom domenu je dobio pristup da prilagodi kampanju nego šalje neke generičke pokušaje :

   

   

prilog je https://www.virustotal.com/gui/file/079f.../detection

   

Otvara se u WORD-u i izgleda ovako :

   

Kad se dokument otvori pokušava da dalje otvori minily .org/jB0C7E7PnP koji redirektuje na https 91.98.115.116 sa kojeg se učitava drugi exploit  https://www.virustotal.com/gui/file/7a1e...4d/details :

   

[milos_rs]

dodao bih i da je spamer bezbrižno slao mejlove najmanje sat vremena, pošto sam analizirao više komada, vremenska razlika između prvog i poslednje primljenog u koje sam imao uvid je oko 1h15m :

prvi: 
   

poslednji: