07-03-2026, 01:42 PM
Od najmanje 12.06 ovaj sajt je služio a izgleda i da još uvek služi clickfix samo što ne mogu da ga detoniram, možda zato što ne prilazim sa makedonske IP adrese.
Na urlscan doduše ima dovoljno artefakta da potvrde da je sajt kompromitovan :
difftells.com prema VT služi za clickfix payload delivery https://www.virustotal.com/gui/domain/di.../detection :
framework-css-styles-js.beer prema VT služi za Vidar infostealer delivery https://www.virustotal.com/gui/domain/fr.../detection
bio je i domen verification-js-cdn.boats koji takođe služi za Vidar infostealer https://www.virustotal.com/gui/domain/ve.../community
Domeni su drugačiji od otkrivene kampanje na temi unspanel.rs - clickfix na sajtu (detaljnija analiza) ali je moguće da je ista kampanja. Mislim da ne koristi isti Polygon pametni ugovor za domene, ali ne mogu da ga iskopam jer urlscan ne čuva podatke HTTP request-a, samo ima response.
Domeni su hostovani na AS202412 OMEGATECH-AS mreži poznatoj po velikoj količini sajber kriminala
Na urlscan doduše ima dovoljno artefakta da potvrde da je sajt kompromitovan :
difftells.com prema VT služi za clickfix payload delivery https://www.virustotal.com/gui/domain/di.../detection :
framework-css-styles-js.beer prema VT služi za Vidar infostealer delivery https://www.virustotal.com/gui/domain/fr.../detection
bio je i domen verification-js-cdn.boats koji takođe služi za Vidar infostealer https://www.virustotal.com/gui/domain/ve.../community
Domeni su drugačiji od otkrivene kampanje na temi unspanel.rs - clickfix na sajtu (detaljnija analiza) ali je moguće da je ista kampanja. Mislim da ne koristi isti Polygon pametni ugovor za domene, ali ne mogu da ga iskopam jer urlscan ne čuva podatke HTTP request-a, samo ima response.
Domeni su hostovani na AS202412 OMEGATECH-AS mreži poznatoj po velikoj količini sajber kriminala