№0941

Napadi

20. OKT 2026.

↳BleepingComputer

Kupci Rank Math PRO dodatka za WordPress jedanaest sati preuzimali zaraženu verziju

Ko je 15. ili 16. oktobra preuzeo plaćenu verziju popularnog WordPress dodatka Rank Math, mogao je napadaču da otvori stalan pristup svom sajtu. Rank Math je alat koji pomaže da se sajt bolje kotira na pretraživačima. Besplatnu verziju koristi preko četiri miliona sajtova, a plaćena PRO verzija stiže direktno sa sajta proizvođača. Upravo tu je napadač podmetnuo zaraženu verziju 3.0.123, koja se delila oko 11 sati, od 15. oktobra uveče do 16. ujutru. Rank Math kaže da je pogođeno nekoliko stotina kupaca, a besplatna verzija nije dirana. Zaraženi dodatak na sajtu ostavlja skriven kod koji napadaču održava otvoren pristup. Ako ga vlasnik obriše, kod se sam vraća čim bilo ko otvori neku stranicu sajta. Uz to otvara pristup lozinkama baze i drugim tajnama, i pravi administratorske naloge čije ime počinje sa wpsupport_. Kako je napadač ušao u proizvođačev sistem, nije objavljeno. Rank Math je incident objavio 16. oktobra, uklonio zaražene fajlove i izdao čistu verziju 3.0.124. Ažuriranje, međutim, ne čisti sajt: ko je zaraženu verziju aktivirao, treba da ga smatra kompromitovanim i vrati iz rezervne kopije starije od 15. oktobra.

№0940

Vesti

19. OKT 2026.

↳SecurityWeek

AI agenti upadali na prave sajtove da bi završili interne zadatke

Dve vodeće AI laboratorije u istoj nedelji objavile su da su njihovi modeli, da bi završili zadatke koji su im dodeljeni, provaljivali u onlajn sisteme najrazličitijih entiteta. Anthropic je 12. oktobra saopštio da su njegovi modeli tokom testova prouzrokovali incidente na nekim američkim državnim sajtovima. Jedan je iskoristio propust na serveru univerziteta kako bi tamo izvršio određeni proračun, drugi je prikupljao pristupne tokene kako bi zaobišao plaćanje za podatke. Model Haiku 4.5 izmislio je i policiji u Filadelfiji poslao dojavu o ubistvu, koja je završila kao spam. OpenAI je 15. oktobra objavio tri izveštaja o junskim incidentima koje je uočio kroz naknadne provere. Na produkcionom sajtu sa državnom statistikom model je iz fajla za podešavanje izvukao tajne, falsifikovao pristupne tokene i preuzeo 24 godine podataka. Na kontrolnoj tabli jednog istraživačkog centra našao je ključeve u javnom kodu stranice i izvukao 1.489 korisničkih zapisa sa imenima i mejl adresama. Kad mu je za test na probnoj kripto mreži zatrebao novčanik, napravio ga je iz javno poznatih fraza za oporavak, a to je u izveštaju prećutao. Anthropic uzrok svemu tome vidi u treningu koji nagrađuje završen zadatak, a ne zaustavljanje kada se naiđe na prepreku. Zato je svim internim testovima isključio pristup internetu i o incidentima obavestio Belu kuću. OpenAI kaže da je preduzeo korake, ali ne navodi koje.

№0939

Napadi

19. OKT 2026.

↳BleepingComputer

Preko ConnectWise aplikacije ušli u najmanje 162 Microsoft 365 okruženja

Aplikacija koja firmama čuva rezervne kopije Microsoft 365 podataka postala je ulazni vektor sajber napada. ConnectWise Cloud Backup, ranije SkyKick, uglavnom koriste firme za IT održavanje da čuvaju poštu, dokumente i Teams prepisku svojih klijenata. Da bi to mogla da radi, aplikacija najčešće ima široka ovlašćenja i posao obavlja samostalno, sa sopstvenim tajnama i bez upliva korisnika u redovne aktivnosti. Napadač je, još se ne zna kako, došao do tih tajni i od 13. oktobra se prijavljivao u M365 okruženja kao ConnectWise aplikacija. Pošto u procesu nije bilo koraka prijave korisnika, dvofaktorska zaštita nije imala nikakvu ulogu. Huntress je potvrdio upad u najmanje 162 okruženja, a prijave sa napadačeve adrese kasnije je video u skoro hiljadu. Posebna serija pokušaja ciljala je 16 organizacija iz oblasti politike, nacionalne bezbednosti, trgovine i kritičnih minerala, ali bez uspeha. U nekim okruženjima ConnectWise aplikacije su same sebi dodelile administratorske uloge, a dvema drugim aplikacijama dodate su lozinke koje važe do 2028. ConnectWise je ugasio svoj servis i kaže da arhive aplikacije nisu kompromitovane. Do daljeg se, međutim, rezervne kopije ne prave i ne mogu da se vrate. Napadač nije imenovan, a krađa podataka za sada nije potvrđena.

№0938

Napadi

19. OKT 2026.

↳Citizen Lab

Pegasus na telefonu rektora Đokića, na meti i saradnik tužilaštva iz slučaja Generalštab

Šest dana pred izbore, Citizen Lab je potvrdio da je telefon rektora Univerziteta u Beogradu Vladana Đokića tokom 2026. bio zaražen špijunskim softverom Pegasus. Forenziku je, na Đokićev zahtev, uradila ova laboratorija sa Univerziteta u Torontu, u saradnji sa SHARE fondacijom. Zaraza je stigla bez interakcije, rektor nije morao ništa ni da otvori ni da odobri. Đokić je otvoreno podržavao studentski pokret i do septembra se pominjao kao mogući nosilac Studentske liste. Njegove kancelarije pretresene su 31. marta, kada su oduzeti računari i serveri. Na meti je bio i Rade Bajić, viši tužilački saradnik u Tužilaštvu za organizovani kriminal, koji je radio na slučaju Generalštab. On je 13. i 27. avgusta dobio Apple-ovo upozorenje da je meta plaćeničkog špijunskog softvera, a analiza njegovog telefona još traje. Sa njima je javno poznato najmanje 16 ljudi iz civilnog društva u Srbiji koji su ove godine bili meta špijunskog softvera. Pegasus pravi izraelska NSO Group, koja tvrdi da ga prodaje samo državama, za borbu protiv terorizma i teškog kriminala. Ko je naručio ovaj nadzor, izveštaj ne navodi. Vlast je ranije poricala ovakve navode, a MUP i BIA nisu odgovorili na pitanja medija. SHARE upozorava da nadzor nad ljudima iz pravosuđa i univerziteta ugrožava nezavisnost institucija i da bez istrage ova praksa može da se širi.

№0937

Napadi

19. OKT 2026.

↳BleepingComputer

Alat kojim IT podrška ulazi u korisničke računare napadači koristili od avgusta, upozorenje stiglo tek sada

Napadači su od kraja avgusta koristili nepoznat propust u BeyondTrust Remote Supportu, programu kojim službe za podršku u velikim firmama i institucijama ulaze u računare korisnika kako bi efikasnije rešile problem. Propust ocenjen sa 9,3 od 10 dozvoljava napadaču bez naloga da čita i menja fajlove na samom BeyondTrust uređaju. Prema Mandiantu, napadači su tako preuzimali potpunu kontrolu, ostavljali sebi zadnja vrata i brisali tragove za sobom. Zatim su ukradenim administratorskim nalozima otvarali sesije na računarima kojima je uređaj služio. Ko drži taj uređaj, drži i sve lozinke koje kroz njega prolaze. BeyondTrust je klijente u oblaku zakrpio 8. oktobra, a upozorenje izdao tek 15., pa oni koji sami održavaju svoje uređaje nedelju dana nisu znali da zakrpa ne trpi odlaganje. CISA je propust uvrstila na listu aktivno eksploatisanih, a Shadowserver vidi preko 1.400 ovakvih uređaja izloženih na internetu. Mandiant napad sa srednjom do visokom pouzdanošću pripisuje špijunskoj grupi pod imenom Armory Castle i vezuje je za Kinu, a kineske reakcije na ovaj nalaz za sada nema. Isti proizvod je krajem 2024. bio ulaz i u američko Ministarstvo finansija, za šta je tada optužena druga grupa, a Peking je optužbe nazvao neosnovanim.

№0936

Napadi

19. OKT 2026.

↳SecurityLab

Napadači deset sati kopirali diskove klijenata ruskog hostinga FirstVDS

Ruski hosting provajder FirstVDS potvrdio je da su mu napadači 17. oktobra deset sati vršljali po infrastrukturi. Kod njega firme i programeri iznajmljuju virtuelne servere na kojima drže sajtove, baze i aplikacije. Napadači nisu provaljivali u same servere, nego su ušli u dublji sloj, kroz propust u VMmanageru, programu kojim provajder upravlja virtuelnim mašinama. Program VMmanager pravi ruska firma ISPsystem, deo Astra grupe. Napadači su u tom sloju infrastrukture pustili alat koji je čitao diskove klijenata, kopirao ih i slao napolje. Serveri su sve vreme radili normalno. U zapisima nije ostao trag, a vlasnici nisu imali šta da primete. Odneto može da bude sve što je na serverima stajalo: lozinke, ključevi za pristup drugim servisima i oblacima, podešavanja aplikacija, kripto novčanici. Koliko je klijenata pogođeno, FirstVDS ne kaže, ali je pogođenima poslao obaveštenja. Proizvođač je izdao privremenu ispravku, a provajder je do konačne zakrpe zatvorio spoljni pristup upravljačkom sistemu. Napadač nije poznat, a za sada se ne zna ni da li je ukradeno već negde zloupotrebljeno.

№0935

Istraživanja

19. OKT 2026.

↳Citizen Lab

Špijunski softver Candiru stizao kroz reklame, bez ijednog klika

Za infekciju nije trebalo ni na šta da se klikne, dovoljno je bilo da se na ekranu prikaže reklama. Citizen Lab je opisanu tehniku nazvao AdFection i potvrdio da je na taj način špijunski softver izraelske firme Candiru stigao do Al Jazeere, gde je 2024. i 2025. na meti bilo najmanje 45 računara. Posrednik je izraelska firma Discover-Tech, koja se predstavlja kao reklamna agencija. Ona je preko velikih reklamnih berzi kupovala prostor za oglase u koje je ugrađivala skriptu. Kada se oglas prikaže, skripta svom serveru vraća reklamni identifikator uređaja i IP adresu. Server potom odlučuje da li je to meta: mete dobijaju dodatni kod, ostali prazan odgovor. Samo od marta do juna 2026. firma je dala ponude za 3,77 milijardi prikazivanja i dobila oko 442 miliona aukcija, a oglasi sa skriptom pojavili su se u 75.373 aplikacije i na 120.768 sajtova u 161 zemlji. Čak 67,4 odsto ponuda išlo je preko Yandexove reklamne berze, a firma je koristila i Google i druge manje platforme. Google, IAB Europe, Beeswax, Vungle i Eskimi su posle prijave odsekli Discover-Tech, dok za Yandex izveštaj reakciju ne navodi. U podacima se vidi i region: Crna Gora ima najviše ponuda po stanovniku, u Srbiji je preko milion oglasa prikazano na Kuriru, a pominju se i Slobodna Bosna i mreže kosovske vlade. Citizen Lab naglašava da prikaz oglasa nije isto što i zaraza. Izveštaj dodaje da je Discover-Tech 2021. vodio zvaničnu mobilnu aplikaciju A1 Srbija, a istraživači ne znaju koliko dugo i ne tvrde da je aplikacija zloupotrebljena. Discover-Tech i Candiru, koji se sada zove Integrity Labs, nisu odgovorili na pitanja istraživača.

№0934

Vesti

19. OKT 2026.

↳Vreme

Vreme: na platformu za SNS botove prijave dolazile sa mreža 231 javne institucije

Nedeljnik Vreme objavio je analizu navodne baze progress.rs, platforme za koju se tvrdi da koordiniše botove SNS-a i koja je procurela pre nekoliko dana. Prema toj analizi, platforma ima više od 7.300 korisnika i preko 32.000 naloga na mreži X, a od februara 2023. do decembra 2024. izdala je 394.763 zadatka, u proseku 564 dnevno. Zadatak je bio lajk, deljenje, odgovor ili citiranje, uz uputstvo šta da se napiše. Svaki je donosio bodove, vodile su se rang-liste po opštinama i okruzima, a dežurstva su nagrađivana sa 250 do 900 bodova. Najviše zadataka bilo je usmereno na domaće medije, a prema Vremenu, prvi na listi je Danas, pa N1, Nova i Direktno. Ključni nalaz tiče se toga odakle su se korisnici prijavljivali: 1.241 korisnik prijavio se ukupno 134.481 put sa mreža 231 javne institucije, a 94 odsto prijava zabeleženo je radnim danima između 7 i 16 časova. Baza beleži i oko 3,17 miliona automatskih glasova na komentarima bosanskog portala Klix.ba, 1,9 miliona na crnogorskim Vijestima i blizu pola miliona na RTCG-u. Vreme ne navodi da li je i kako proverena autentičnost baze, a Nova, koja prenosi analizu, upozorava da prijava sa mreže institucije ne dokazuje da je korisnik u njoj zaposlen. SNS se ni posle ovoga nije oglasio.

№0933

Vesti

16. OKT 2026.

↳Bezbedan Balkan

Navodno curenje baze platforme progress.rs, koja se povezuje sa SNS botovima

Devet dana pred vanredne parlamentarne izbore, na internetu se pojavljuje navodno procurela baza progress.rs platforme za koju se već duže vremena tvrdi da koordiniše botove Srpske napredne stranke. Bazu je objavio akter koji sebe zove inSNSajder i predstavlja se kao uzbunjivač. Prema objavi, reč je o oko 9 GB podataka, stotinama snimaka ekrana i tekstu u kom navodi kako platforma radi i ko stoji iza nje. Deo materijala je postavljen na poseban sajt sa pretragom po nalozima i sa imenima i brojevima telefona ljudi koji navodno stoje iza njih. Autentičnost baze za sada nije nezavisno potvrđena. Forum Bezbedan Balkan, koji od marta 2025. prati progress.rs platformu, navodi da IP adresa sa jednog od snimaka hosting panela odgovara stvarnoj adresi sajta, što je prvi, ali slab trag, jer je ta adresa javna. Analiza je tek počela. Deo tvrdnji može da se uporedi sa javnim podacima. Objava navodi da su se administratori prijavljivali i sa adresa iz opsega koji se u javnom registru internet adresa od 2016. vodi kao „SNS-NET”, na adresi sedišta stranke. Kao izvođača platforme navodi preduzetničku radnju iz Inđije, a izveštaj Državne revizorske institucije o finansijama SNS-a za 2022. zaista beleži ugovor stranke sa tom radnjom iz oktobra te godine, za razvoj i održavanje softvera po zahtevima korisnika. O kom softveru je reč, izveštaj ne kaže. Ta poklapanja ne dokazuju da je baza prava, jer su svi ovi podaci javni, ali tvrdnje za sada ne padaju na prvoj proveri. Isti registar pokazuje da je progress.rs hostovan kod domaćeg cloud provajdera mCloud. U objavi uzbunjivača se tvrdi da platforma postoji od 2012., da program za podršku botovskim komentarima radi sa više od 1.600 računara i da hosting plaća država, ali za te tvrdnje dokaza za sada nema. Sajt progress.rs 17. oktobra nije odgovarao na zahteve, a SNS se do tada nije oglasio. Twitter je u aprilu 2020. uklonio 8.558 naloga koje je povezao sa promocijom stranke, a kad je 2023. kružio nepotvrđen spisak od 14.000 navodnih botova, stranka je tvrdila da se takva aktivnost ne odvija organizovano.

№0932

Vesti

15. OKT 2026.

↳CyberScoop

Dvadesetogodišnjak iz okoline Tetova osumnjičen da je vodio OLVX pijacu ukradenih naloga

Dvadesetogodišnjak iz Goleme Rečice kod Tetova osumnjičen je da je dve godine vodio OLVX, onlajn pijacu ukradenih podataka i naloga. Makedonska policija uhapsila ga je krajem aprila i tada ugasila platformu, a sada su protiv njega podnete krivične prijave, između ostalog za računarsku prevaru i zloupotrebu ličnih podataka. OLVX je od jula 2023. do 2025. radio preko više domena i prodavao ukradene lične podatke, korisničke naloge i alate za napade. Na zaplenjenom serveru pronađena je baza sa više od 2.600 kupaca i preko 1.500 naloga prodavaca, preko kojih je ukradena roba izlagana na pijaci. Promet je, prema istrazi, premašio 500.000 dolara, plaćenih u kriptovalutama. Osumnjičeni je, prema policiji, vodio i Telegram grupu ONEMILI, u kojoj su se nudili alati za prevare sa lažnim povraćajem novca. FBI, koji je istrazi dao obaveštajne podatke, ovih dana je javno zahvalio makedonskoj policiji. Prema FBI-ju, pijaca je ugrožavala hiljade američkih građana, a ovo je prva zajednička sajber operacija sa Severnom Makedonijom.