№0939

Napadi

19. OKT 2026.

↳BleepingComputer

Preko ConnectWise aplikacije ušli u najmanje 162 Microsoft 365 okruženja

Aplikacija koja firmama čuva rezervne kopije Microsoft 365 podataka postala je ulazni vektor sajber napada. ConnectWise Cloud Backup, ranije SkyKick, uglavnom koriste firme za IT održavanje da čuvaju poštu, dokumente i Teams prepisku svojih klijenata. Da bi to mogla da radi, aplikacija najčešće ima široka ovlašćenja i posao obavlja samostalno, sa sopstvenim tajnama i bez upliva korisnika u redovne aktivnosti. Napadač je, još se ne zna kako, došao do tih tajni i od 13. oktobra se prijavljivao u M365 okruženja kao ConnectWise aplikacija. Pošto u procesu nije bilo koraka prijave korisnika, dvofaktorska zaštita nije imala nikakvu ulogu. Huntress je potvrdio upad u najmanje 162 okruženja, a prijave sa napadačeve adrese kasnije je video u skoro hiljadu. Posebna serija pokušaja ciljala je 16 organizacija iz oblasti politike, nacionalne bezbednosti, trgovine i kritičnih minerala, ali bez uspeha. U nekim okruženjima ConnectWise aplikacije su same sebi dodelile administratorske uloge, a dvema drugim aplikacijama dodate su lozinke koje važe do 2028. ConnectWise je ugasio svoj servis i kaže da arhive aplikacije nisu kompromitovane. Do daljeg se, međutim, rezervne kopije ne prave i ne mogu da se vrate. Napadač nije imenovan, a krađa podataka za sada nije potvrđena.

№0938

Napadi

19. OKT 2026.

↳Citizen Lab

Pegasus na telefonu rektora Đokića, na meti i saradnik tužilaštva iz slučaja Generalštab

Šest dana pred izbore, Citizen Lab je potvrdio da je telefon rektora Univerziteta u Beogradu Vladana Đokića tokom 2026. bio zaražen špijunskim softverom Pegasus. Forenziku je, na Đokićev zahtev, uradila ova laboratorija sa Univerziteta u Torontu, u saradnji sa SHARE fondacijom. Zaraza je stigla bez interakcije, rektor nije morao ništa ni da otvori ni da odobri. Đokić je otvoreno podržavao studentski pokret i do septembra se pominjao kao mogući nosilac Studentske liste. Njegove kancelarije pretresene su 31. marta, kada su oduzeti računari i serveri. Na meti je bio i Rade Bajić, viši tužilački saradnik u Tužilaštvu za organizovani kriminal, koji je radio na slučaju Generalštab. On je 13. i 27. avgusta dobio Apple-ovo upozorenje da je meta plaćeničkog špijunskog softvera, a analiza njegovog telefona još traje. Sa njima je javno poznato najmanje 16 ljudi iz civilnog društva u Srbiji koji su ove godine bili meta špijunskog softvera. Pegasus pravi izraelska NSO Group, koja tvrdi da ga prodaje samo državama, za borbu protiv terorizma i teškog kriminala. Ko je naručio ovaj nadzor, izveštaj ne navodi. Vlast je ranije poricala ovakve navode, a MUP i BIA nisu odgovorili na pitanja medija. SHARE upozorava da nadzor nad ljudima iz pravosuđa i univerziteta ugrožava nezavisnost institucija i da bez istrage ova praksa može da se širi.

№0937

Napadi

19. OKT 2026.

↳BleepingComputer

Alat kojim IT podrška ulazi u korisničke računare napadači koristili od avgusta, upozorenje stiglo tek sada

Napadači su od kraja avgusta koristili nepoznat propust u BeyondTrust Remote Supportu, programu kojim službe za podršku u velikim firmama i institucijama ulaze u računare korisnika kako bi efikasnije rešile problem. Propust ocenjen sa 9,3 od 10 dozvoljava napadaču bez naloga da čita i menja fajlove na samom BeyondTrust uređaju. Prema Mandiantu, napadači su tako preuzimali potpunu kontrolu, ostavljali sebi zadnja vrata i brisali tragove za sobom. Zatim su ukradenim administratorskim nalozima otvarali sesije na računarima kojima je uređaj služio. Ko drži taj uređaj, drži i sve lozinke koje kroz njega prolaze. BeyondTrust je klijente u oblaku zakrpio 8. oktobra, a upozorenje izdao tek 15., pa oni koji sami održavaju svoje uređaje nedelju dana nisu znali da zakrpa ne trpi odlaganje. CISA je propust uvrstila na listu aktivno eksploatisanih, a Shadowserver vidi preko 1.400 ovakvih uređaja izloženih na internetu. Mandiant napad sa srednjom do visokom pouzdanošću pripisuje špijunskoj grupi pod imenom Armory Castle i vezuje je za Kinu, a kineske reakcije na ovaj nalaz za sada nema. Isti proizvod je krajem 2024. bio ulaz i u američko Ministarstvo finansija, za šta je tada optužena druga grupa, a Peking je optužbe nazvao neosnovanim.

№0936

Napadi

19. OKT 2026.

↳SecurityLab

Napadači deset sati kopirali diskove klijenata ruskog hostinga FirstVDS

Ruski hosting provajder FirstVDS potvrdio je da su mu napadači 17. oktobra deset sati vršljali po infrastrukturi. Kod njega firme i programeri iznajmljuju virtuelne servere na kojima drže sajtove, baze i aplikacije. Napadači nisu provaljivali u same servere, nego su ušli u dublji sloj, kroz propust u VMmanageru, programu kojim provajder upravlja virtuelnim mašinama. Program VMmanager pravi ruska firma ISPsystem, deo Astra grupe. Napadači su u tom sloju infrastrukture pustili alat koji je čitao diskove klijenata, kopirao ih i slao napolje. Serveri su sve vreme radili normalno. U zapisima nije ostao trag, a vlasnici nisu imali šta da primete. Odneto može da bude sve što je na serverima stajalo: lozinke, ključevi za pristup drugim servisima i oblacima, podešavanja aplikacija, kripto novčanici. Koliko je klijenata pogođeno, FirstVDS ne kaže, ali je pogođenima poslao obaveštenja. Proizvođač je izdao privremenu ispravku, a provajder je do konačne zakrpe zatvorio spoljni pristup upravljačkom sistemu. Napadač nije poznat, a za sada se ne zna ni da li je ukradeno već negde zloupotrebljeno.

№0935

Istraživanja

19. OKT 2026.

↳Citizen Lab

Špijunski softver Candiru stizao kroz reklame, bez ijednog klika

Za infekciju nije trebalo ni na šta da se klikne, dovoljno je bilo da se na ekranu prikaže reklama. Citizen Lab je opisanu tehniku nazvao AdFection i potvrdio da je na taj način špijunski softver izraelske firme Candiru stigao do Al Jazeere, gde je 2024. i 2025. na meti bilo najmanje 45 računara. Posrednik je izraelska firma Discover-Tech, koja se predstavlja kao reklamna agencija. Ona je preko velikih reklamnih berzi kupovala prostor za oglase u koje je ugrađivala skriptu. Kada se oglas prikaže, skripta svom serveru vraća reklamni identifikator uređaja i IP adresu. Server potom odlučuje da li je to meta: mete dobijaju dodatni kod, ostali prazan odgovor. Samo od marta do juna 2026. firma je dala ponude za 3,77 milijardi prikazivanja i dobila oko 442 miliona aukcija, a oglasi sa skriptom pojavili su se u 75.373 aplikacije i na 120.768 sajtova u 161 zemlji. Čak 67,4 odsto ponuda išlo je preko Yandexove reklamne berze, a firma je koristila i Google i druge manje platforme. Google, IAB Europe, Beeswax, Vungle i Eskimi su posle prijave odsekli Discover-Tech, dok za Yandex izveštaj reakciju ne navodi. U podacima se vidi i region: Crna Gora ima najviše ponuda po stanovniku, u Srbiji je preko milion oglasa prikazano na Kuriru, a pominju se i Slobodna Bosna i mreže kosovske vlade. Citizen Lab naglašava da prikaz oglasa nije isto što i zaraza. Izveštaj dodaje da je Discover-Tech 2021. vodio zvaničnu mobilnu aplikaciju A1 Srbija, a istraživači ne znaju koliko dugo i ne tvrde da je aplikacija zloupotrebljena. Discover-Tech i Candiru, koji se sada zove Integrity Labs, nisu odgovorili na pitanja istraživača.

№0934

Vesti

19. OKT 2026.

↳Vreme

Vreme: na platformu za SNS botove prijave dolazile sa mreža 231 javne institucije

Nedeljnik Vreme objavio je analizu navodne baze progress.rs, platforme za koju se tvrdi da koordiniše botove SNS-a i koja je procurela pre nekoliko dana. Prema toj analizi, platforma ima više od 7.300 korisnika i preko 32.000 naloga na mreži X, a od februara 2023. do decembra 2024. izdala je 394.763 zadatka, u proseku 564 dnevno. Zadatak je bio lajk, deljenje, odgovor ili citiranje, uz uputstvo šta da se napiše. Svaki je donosio bodove, vodile su se rang-liste po opštinama i okruzima, a dežurstva su nagrađivana sa 250 do 900 bodova. Najviše zadataka bilo je usmereno na domaće medije, a prema Vremenu, prvi na listi je Danas, pa N1, Nova i Direktno. Ključni nalaz tiče se toga odakle su se korisnici prijavljivali: 1.241 korisnik prijavio se ukupno 134.481 put sa mreža 231 javne institucije, a 94 odsto prijava zabeleženo je radnim danima između 7 i 16 časova. Baza beleži i oko 3,17 miliona automatskih glasova na komentarima bosanskog portala Klix.ba, 1,9 miliona na crnogorskim Vijestima i blizu pola miliona na RTCG-u. Vreme ne navodi da li je i kako proverena autentičnost baze, a Nova, koja prenosi analizu, upozorava da prijava sa mreže institucije ne dokazuje da je korisnik u njoj zaposlen. SNS se ni posle ovoga nije oglasio.

№0933

Vesti

16. OKT 2026.

↳Bezbedan Balkan

Navodno curenje baze platforme progress.rs, koja se povezuje sa SNS botovima

Devet dana pred vanredne parlamentarne izbore, na internetu se pojavljuje navodno procurela baza progress.rs platforme za koju se već duže vremena tvrdi da koordiniše botove Srpske napredne stranke. Bazu je objavio akter koji sebe zove inSNSajder i predstavlja se kao uzbunjivač. Prema objavi, reč je o oko 9 GB podataka, stotinama snimaka ekrana i tekstu u kom navodi kako platforma radi i ko stoji iza nje. Deo materijala je postavljen na poseban sajt sa pretragom po nalozima i sa imenima i brojevima telefona ljudi koji navodno stoje iza njih. Autentičnost baze za sada nije nezavisno potvrđena. Forum Bezbedan Balkan, koji od marta 2025. prati progress.rs platformu, navodi da IP adresa sa jednog od snimaka hosting panela odgovara stvarnoj adresi sajta, što je prvi, ali slab trag, jer je ta adresa javna. Analiza je tek počela. Deo tvrdnji može da se uporedi sa javnim podacima. Objava navodi da su se administratori prijavljivali i sa adresa iz opsega koji se u javnom registru internet adresa od 2016. vodi kao „SNS-NET”, na adresi sedišta stranke. Kao izvođača platforme navodi preduzetničku radnju iz Inđije, a izveštaj Državne revizorske institucije o finansijama SNS-a za 2022. zaista beleži ugovor stranke sa tom radnjom iz oktobra te godine, za razvoj i održavanje softvera po zahtevima korisnika. O kom softveru je reč, izveštaj ne kaže. Ta poklapanja ne dokazuju da je baza prava, jer su svi ovi podaci javni, ali tvrdnje za sada ne padaju na prvoj proveri. Isti registar pokazuje da je progress.rs hostovan kod domaćeg cloud provajdera mCloud. U objavi uzbunjivača se tvrdi da platforma postoji od 2012., da program za podršku botovskim komentarima radi sa više od 1.600 računara i da hosting plaća država, ali za te tvrdnje dokaza za sada nema. Sajt progress.rs 17. oktobra nije odgovarao na zahteve, a SNS se do tada nije oglasio. Twitter je u aprilu 2020. uklonio 8.558 naloga koje je povezao sa promocijom stranke, a kad je 2023. kružio nepotvrđen spisak od 14.000 navodnih botova, stranka je tvrdila da se takva aktivnost ne odvija organizovano.

№0932

Vesti

15. OKT 2026.

↳CyberScoop

Dvadesetogodišnjak iz okoline Tetova osumnjičen da je vodio OLVX pijacu ukradenih naloga

Dvadesetogodišnjak iz Goleme Rečice kod Tetova osumnjičen je da je dve godine vodio OLVX, onlajn pijacu ukradenih podataka i naloga. Makedonska policija uhapsila ga je krajem aprila i tada ugasila platformu, a sada su protiv njega podnete krivične prijave, između ostalog za računarsku prevaru i zloupotrebu ličnih podataka. OLVX je od jula 2023. do 2025. radio preko više domena i prodavao ukradene lične podatke, korisničke naloge i alate za napade. Na zaplenjenom serveru pronađena je baza sa više od 2.600 kupaca i preko 1.500 naloga prodavaca, preko kojih je ukradena roba izlagana na pijaci. Promet je, prema istrazi, premašio 500.000 dolara, plaćenih u kriptovalutama. Osumnjičeni je, prema policiji, vodio i Telegram grupu ONEMILI, u kojoj su se nudili alati za prevare sa lažnim povraćajem novca. FBI, koji je istrazi dao obaveštajne podatke, ovih dana je javno zahvalio makedonskoj policiji. Prema FBI-ju, pijaca je ugrožavala hiljade američkih građana, a ovo je prva zajednička sajber operacija sa Severnom Makedonijom.

№0931

Vesti

15. OKT 2026.

↳SecurityWeek

Microsoft oborio fišing tržište iza milijardu poruka

SMS o neplaćenoj putarini ili kazni retko kad kroji i šalje usamljeni prevarant. To se kupuje kao usluga u veb prodavnici, a jednu takvu, YAM Store, Microsoft je sa svojim partnerima oborio na osnovu sudskog naloga sa Floride. U njoj su se prodavala tri fišing paketa, CoGUI, Haozi i Iron Man, koje su prema Microsoftovoj proceni napravili akteri sa kineskog jezičkog područja. Od januara su poslali preko milijardu poruka, mejlom i SMS-om, na više od 75.000 organizacija u preko 150 zemalja. Prodavci ove usluge su zaradili na desetine miliona dolara. Iron Man nudi preko 2.300 gotovih šablona za banke, kurirske službe, poreske uprave i državne organe. Mamci su dobro poznati: neplaćena putarina, kazna, paket koji čeka, nalog koji treba da se potvrdi. Deo napada nije ni tražio lozinku, nego je žrtvu navodio da sama odobri pristup svom nalogu. Prodavnica je nudila i naloge u Microsoftovom i Google-ovom oblaku, do kojih je dolazila kupovinom isteklih domena pravih organizacija i ponovnim dizanjem njihovih sajtova. Microsoft je ugasio preko 20.000 povezanih naloga i blokirao više od 100.000 domena. Uhapšenih nema.

№0930

Napadi

15. OKT 2026.

↳BleepingComputer

Napadači kroz Ivanti VPN prolaze prikriveni, alat za proveru kaže sve čisto

Napad kroz Ivanti VPN ne ostavlja fajl na uređaju i zato prolazi ispod radara. Ivanti Connect Secure je uređaj na granici mreže kroz koji zaposleni od spolja ulaze u firmu. Volexity je uhvatio aktivne napade od najmanje 3. oktobra, a prve znake još od početka meseca. Napadač, do sada nepoznat i označen kao UTA0576, spaja tri propusta u jedan lanac. Volexity sa niskom pouzdanošću procenjuje da mu je motiv kriminalni, a ne špijunski. Jezgro je ranjivost CVE-2026-104935, zaobilaženje prijave: radi daljinski, bez naloga i bez klika žrtve. Spajanjem sva tri propusta napadač dobija root pristup, najviši nivo kontrole, i to na potpuno zakrpljenim uređajima. Trik je u načinu prikrivanja. Ne ostavlja fizički zapis; komande se izvršavaju u memoriji i nestaju bez traga. Zato Ivantijev alat za proveru integriteta javlja da je uređaj čist, na šta i CISA izričito upozorava. Posle provale napadač ide na ono najvrednije: lozinke iz Active Directory-ja, LAPS lozinke i BitLocker ključeve za oporavak. CISA je ranjivost uvrstila u listu aktivno eksploatisanih i naložila saveznim agencijama da propust zakrpe do petka. Ivanti je sanirao prvu kariku lanca i poručio korisnicima da reaguju odmah, ali propust za dizanje privilegija još čeka ispravku. Shadowserver vidi preko 5.600 ovakvih uređaja izloženih na internetu.