[Venis33]

Mali biznis informator, odnosno podsajt preduzetnistvo.gov.rs (koji nema važeći sertifikat od 27. avgusta 2025) je pretrpeo kompromitaciju servera ubacivanjem webshella; sudeći po putanji i vlasništvu fajlova, kompromitacija se najverovatnije desila putem rupe u aplikaciji.

Server se nalazi na infrastrukturi Telekoma Srbije oblaci.rs, adresa 93.87.76.230.

Code:

luka@luka3630:~$ getent -s resolve ahostsv4 informator.preduzetnistvo.gov.rs 93.87.76.230    STREAM informator.preduzetnistvo.gov.rs 93.87.76.230    DGRAM  93.87.76.230    RAW    luka@luka3630:~$ dig -x 93.87.76.230 @9.9.9.9 +short ts915208mbi20221.moji.oblaci.rs.

   

Fajl nokcli.php se na početku pretvara da je od Kancelarije za IT i eUpravu (ITE) i nakon tih varljivih komentara kreće webshell deo:

* nije ceo kôd već odabrani deo

Code:

<?php /* Plugin Name: ITE Wordpress Plugin Plugin URI: https://github.com/itegovrs Description: itegovrs Author: itegovrs Version: 1.1.0 Author URI: https://ite.gov.rs/ Text Domain: itegovrs Domain Path: /languages License: GPLv3 or later Network: true */ ... <?php function printPerms($file) { $mode = fileperms($file); if( $mode & 0x1000 ) { $type='p'; } else if( $mode & 0x2000 ) { $type='c'; } else if( $mode & 0x4000 ) { $type='d'; } else if( $mode & 0x6000 ) { $type='b'; } else if( $mode & 0x8000 ) { $type='-'; } else if( $mode & 0xA000 ) { $type='l'; } else if( $mode & 0xC000 ) { $type='s'; } ...

Ostali:

Code:

sha256sum                                                        | VT detekcije | Naziv fajla 812cbbf7fd27976ab0576ead9f565c54eb2f41500c7b3da9bde06f0f7c6f89e6 | 0/58         | base64cli.php e2ebffd27a1f50c8b513a1f4b7cf41df177190dddae13495fffb387e0f1099f2 | 24/59        | tunnel.nosocket.php 5b49a99c2101fa4e3b89a5ae36cf23cb926e71c298e3f0b880da0161943d60ae | 23/63        | tunnel.php a0625bdb07237e2bc722151d8cfb8e2c2ca0a8fec67391dd5321cf8ffc24c79c | 23/54        | tunnel1.php

Dodatno je ubačen Python skener portova koji je već bio pokrenut za LAN:
   
   

Kroz webshell su procureli osetljivi podaci poput:

• .env secreta.
  
• Dumpova produkcione baze na nekoliko lokacija.
  
• Kompletnog aplikativnog koda i pratećih fajlova aplikacije.
  
• Privatnog ključa za server.
  
• I tako dalje...
  

   
   
   
   

Mejl koji je procureo se pristupa putem infrastrukture Kancelarije za IT i eUpravu (ITE), adresa 195.222.96.31.

Code:

luka@luka3630:~$ dig preduzetnistvo.gov.rs MX @1.1.1.1 +short 10 smtp.gov.rs. luka@luka3630:~$ getent -s resolve ahostsv4 smtp.gov.rs 195.222.96.31   STREAM smtp.gov.rs 195.222.96.31   DGRAM  195.222.96.31   RAW    luka@luka3630:~$ dig -x 195.222.96 SOA @1.1.1.1 +short ns1.gov.rs. administrator.uzzpro.gov.rs. 2007080355 10800 3600 1209600 86400

Sajt je izradila kompanija Zea Stim R&D:
   

Epilog:
Pronalzak je odmah prijavljen republičkom CERTu, koji u oba navrata nije odgovorio. Naknadno je prosleđeno Zea Stimu, nakon čega je usledila potpuna nedostupnost servera koja traje do danas:

Code:

luka@luka3630:~$ timeout 2m telnet informator.preduzetnistvo.gov.rs 80 || echo "Nedostupan" Trying 93.87.76.230... Nedostupan luka@luka3630:~$ timeout 2m telnet informator.preduzetnistvo.gov.rs 443 || echo "Nedostupan" Trying 93.87.76.230... Nedostupan luka@luka3630:~$ ping -O -c 10 informator.preduzetnistvo.gov.rs PING informator.preduzetnistvo.gov.rs (93.87.76.230) 56(84) bytes of data. no answer yet for icmp_seq=1 no answer yet for icmp_seq=2 no answer yet for icmp_seq=3 no answer yet for icmp_seq=4 no answer yet for icmp_seq=5 no answer yet for icmp_seq=6 no answer yet for icmp_seq=7 no answer yet for icmp_seq=8 no answer yet for icmp_seq=9 --- informator.preduzetnistvo.gov.rs ping statistics --- 10 packets transmitted, 0 received, 100% packet loss, time 9218ms

Autor teksta kod sebe nije sačuvao procurele fajlove.