• Tehnika prevare koja ima za cilj prikupljanje i zloupotrebu poverljivih podataka korisnika
• Očekuje se brza reakcija korisnika - klik na link, otvaranje priloga u mejlu, prihvatanje zahteva na društvenim mrežama i sl.
• Pažljivo otvarati mejlove od nepoznatih pošiljalaca

Nacionalni CERT Republike Srbije obaveštava sve građane da je u toku nova fišing prevara koja zloupotrebljava ime Narodne banke Srbije. Reč je o lažnoj Fajsbuk stranici ’’NBS’’ koja je kreirana po uzoru na legitimnu stranicu Narodne banke Srbije. Na fišing stranici se građanima nudi lažna mogućnost da dupliraju iznos na Dina kartici, ukoliko dostave tražene podatke.

Poruka koja se javlja je:

Fišing stranica je kreirana sa ciljem prikupljanja ličnih podataka građana zbog čega je preporuka Nacionalnog CERT-a da građani ne unose svoje podatke, jer je nagrada lažna i ne pripada Narodnoj banci Srbije.

Obaveštenje i preporuke Narodne banke Srbije, u vezi sa navedenom prevarom, su dostupni na linku.

SAOPŠTENjE ZA JAVNOST -

Upozorenje po pitanju učestalog slanja zlonamernih elektronskih poruka

Nacionalni Centar za reagovanje na bezbednosne incidente Republike Srbije, koji posluje u okviru Regulatorne agencije za elektronske komunikacije i poštanske usluge (RATEL)  i Udruženje banaka Srbije obaveštavaju javnost da je u prethodnom periodu primećena povećana aktivnost slanja zlonamernih elektronskih poruka sa ciljem krađe podataka i kompromitovanja korisničkih računara i mobilnih uređaja. Elektronske poruke se šalju sa lažnom adresom pošiljaoca a navodno u ime neke od banaka koje posluju u našoj zemlji. Mejlovi naizgled deluju uobičajeno i sadrže standardne poruke i obaveštenja,  sa ciljem da se korisnik obmane i otvori zaražen prilog koji se u poruci nalazi.

Neke od lažnih poruka imale su formu obaveštenja o navodnom deviznom prilivu, dostavljanju izvoda, dnevnih izveštaja i dr. dok su se u prilogu poruka nalazili zaraženi fajlovi sa ekstenzijama .pdf, .iso, .zip.

Poruke se šalju najčešće nasumično na veliki broj elektronskih adresa često i korisnicima koji nemaju račune u bankama čija imena se zloupotrebljavaju u porukama.

Savet je da mejl poruke koje vam stižu u ime banaka u kojima nemate otvoren račun, kao ni eventualne priloge ili hiper linkove koji se mogu nalaziti u tim porukama ne otvarate, te da ovakve mejlove ignorišete.

Obaveštavamo sve klijente, ali i korisnike računara i mobilnih uređaja da banke nisu pošiljaoci ovakvih poruka, niti su podaci o adresama primalaca potekli iz njihovih sistema. Uvidom u detalje o pošiljaocu poruka moguće je videti prave adrese sa kojih se ovakvi mejlovi šalju, za koje napominjemo da nisu u vlasništvu banaka.

Nacionalni CERT, Udruženje banaka Srbije i banke rade na identifikaciji pošiljalaca poruka, iznalaženju rešenja kako bi se ovakve poruke u budućnosti sprečile i mole građane da se pridržavaju preporuka dobre prakse po pitanju zaštite računarskih sistema i postupanja sa spam, fišing i ostalim vidovima malicioznih poruka.

Linkovi ka preporukama:

https://www.cert.rs/

http://www.ubs-asb.com/Default.aspx?tabid=9911   

http://www.pametnoibezbedno.gov.rs/

Nacionalni CERT Republike Srbije obaveštava sve korisnike interneta da je u toku nova fišing kampanja pod naslovom „**SPAM** Ulazak u sistem je uspeljno zavrsen, svi podaci sa Vaseg uredaja su kopirani. Procitajte uputstva dalje.“ .Fišing poruka sadrži pretnju da su svi podaci korisnika iskopirani i zaključani, da je snimljen video snimak samog korisnika, kao i svi njegovi kontakti na društvenim mrežama. Za „vraćanje“ svih podataka traži se uplata u bitkoinima u vrednosti od 1400 američkih dolara u roku od 50 sati. Dakle, sama poruka ne sadrži lažni link ili prilog, već se radi o prevari kojom se utiče na korisnike da izvrše uplatu u novcu kako bi navodno vratili svoje podatke.

Preporuka Nacionalnog CERT-a je da se ovakva e-pošta odmah izbriše. Detaljna provera ovakvih poruka otežava posao napadača koji pokušavaju da iskoriste trenutak nepažnje korisnika interneta. Potrebno je da korisnici obrate dodatnu pažnju na e-poštu nepoznatog pošiljaoca, u kojoj se traži hitna reakcija i koja sadrži gramatičke greške.

Nacionalni CERT Republike Srbije upozorava sve korisnike da je u toku nova fišing kampanja koja je usmerena na korisnike poštanskih usluga putem SMS poruka. Korisnicima se šalje lažna SMS poruka da im navodno paket nije mogao biti isporučen zbog neplaćene carine i da za isporuku treba otvoriti link iz poruke. Lažni linkovi koji su trenutno aktuelni: https://rs-posta.com, https://rs-posta.net, https://posta-serbia.com i https://posta-srbija.com.

Link iz poruke vodi na lažnu stranicu na kojoj se traži popunjavanje podataka o bankovnoj kartici koji omogućavaju napadačima da preuzmu novac sa bankovnog računa.

Javno preduzeće „Pošta Srbije“ je upozorila da sa svojim korisnicima ne komunicira na ovaj način i da je potrebno da obrate dodatnu pažnju.

Izgled legitimne stranice Javnog preduzeća „Pošta Srbije“:

Nacionalni CERT apeluje na sve koji prime ovaj SMS da ne otvaraju link iz poruke i ne popunjavaju tražene podatke, kao i da obrišu poruku.

Na sajtu Nacionalnog CERT-a dostupne su publikacije o ovim pretnjama kao i načinu sprovođenja aktuelnih fišing kampanja. Takođe je dostupan i interaktivni sadržaj na našoj platformi „Za bezbedniji klik“ u okviru koje se možete bliže upoznati sa različitim temama iz oblasti informacione bezbednosti.

Pošti Srbije se ova prevara može prijaviti preko kontakt centra na brojeve 0700 100 300 i 011 3607 788, stoji na raspolaganju radnim danima od 8 do 20 časova i subotom i nedeljom od 8 do 15 časova, kao i Nacionalnim CERT-u.

Nacionalni CERT Republike Srbije obaveštava i upozorava sve korisnike da je u toku nova fišing kampanja koja je usmerena na korisnike poštanskih usluga. Korisnici dobijaju poruku putem elektronske pošte (imejl) o nemogućnosti isporuke paketa dok se ne plati carina.

Na slici 1. prikazan je primer imejla koji se šalje korisnicima:

Slika 1 - Primer fišing mejla

Od korisnika se traži da klikne na link iz imejla koji vodi na lažnu stranicu  Pošte Srbije na kojoj se zahteva plaćanje unosom podataka sa bankovne kartice. Na slici 2. prikazano je kako izgleda lažna stranica za plaćanje na koju se korisnici preusmeravaju:

Slika 2 - Primer lažne stranice za plaćanje 

Svi podaci koje korisnik unese na lažnu formu mogu biti zloupotrebljeni. Preporuka Nacionalnog CERT-a je da svi korisnici koji dobiju ovakav imejl, isti ne otvaraju i da ne unose lične podatke, već da ga trajno obrišu.

Pošti Srbije se ova prevara može prijaviti preko kontakt centra na brojeve 0700 100 300 i 011 3607 788, stoji na raspolaganju radnim danima od 8 do 20 časova i subotom i nedeljom od 8 do 15 časova, kao i Nacionalnim CERT-u.

U toku jučerašnjeg dana detektovana je nova zloupotreba internet stranice WeTransfer, koju korisnici upotrebljavaju za besplatan prenos datoteka veličine do 2GB putem interneta. Za potrebe ove fišing kampanje koristi se domen ascmgpr[.]ir koji nije legitiman. već se lažno predstavlja kao stranica WeTransfer.

S obzirom na to da je domen ascmgpr[.]ir još uvek aktivan, upozoravaju se korisnici interneta da obrate pažnju na sve poruke elektronske pošte koje stižu od WeTransfer-a. Izgled poruke je drugačiji od uobičajenog, pa je preporuka Nacionalnog CERT-a da korisnici pre otvaranja linka provere da li je link za preuzimanje datoteka legitiman i vodi na domen wetransfer.com, ili ne. Ovu proveru korisnici mogu uraditi pozicioniranjem miša na link za preuzimanje (Download link) bez klika, i tom prilikom će se prikazati adresa na koju link preusmerava (pogledati sliku ispod). Ukoliko domen nije wetransfer.com, datoteke nisu sigurne za preuzimanje.

Postoji mogućnost da korisnici ovakvu poruku dobiju i sa adrese elektronske pošte info@cert.rs. Takve poruke ne treba otvarati.

Više informacija o zloupotrebi WeTransfer-a i načinu zaštite možete pronaći za zvaničnoj stranici:

https://wetransfer.zendesk.com/hc/en-us/articles/208554176-Phishing-attempts-and-weird-WeTransfer-imitations

22. Decembar 2023. godine

Napadači mogu zloupotrebiti akutelne teme od interesa za građane za potrebe sprovođenja ove fišing kampanje kao na slici ispod:

13. Decembar 2023. godine

Nacionalni CERT Republike Srbije obaveštava i upozorava sve korisnike da je aktuelna fišing kampanja na Viber-u koju karakterišu linkovi koji počinju sa tekstom “https://www.viber.com/activate_secondary/". Ukoliko primite poruku sa ovakvim sadržajem, preporuka Nacionalnog CERT-a je da ne pristupate linkovima iz poruke jer na taj način možete kompromitovati svoj nalog na Viber-u.

Klikom na link omogućavate napadaču da registruje svoj uređaj kao dodatni uređaj za pristup vašem Viber nalogu, čime dobija mogućnost da čita vaše poruke, pristupa vašoj listi kontakata i da se lažno predstavlja u vaše ime.

Da biste bili zaštićeni najbitnije je da znate sledeće:

• Ne otvarajte sumnjive linkove.
• Ako dobijete poruku sa linkom koju niste očekivali ili koja izgleda neobično, nemojte je otvarati.
• Potvrdite izvor: Ako vam neko od vaših kontakata pošalje link, proverite sa njim putem drugog načina komunikacije da li je zaista imao nameru da vam pošalje taj link.
• Koristite zvanične linkove: Uvek koristite zvaničnu veb lokaciju ili aplikaciju Viber za sve neophodne radnje u vezi sa nalogom.
• Redovno ažurirajte Viber aplikaciju.

Kako postupiti ukoliko dođe do kompromitacije?

Ukoliko dođe do ove kompromitacije, da biste deaktivirali pristup vašem Viber nalogu na drugim uređajima (računarima ili tabletima), potrebno je da na vašem mobilnom telefonu preduzmete sledeće radnje:

• Otvorite Viber aplikaciju na svom mobilnom uređaju.
• Izaberite opciju More (Još) u donjem desnom uglu ekrana kako biste pristupili meniju.
• Izaberite opciju Settings (Podešavanja) da biste pristupili postavkama podešavanja.
• Izaberite Account (Nalog).
• Izaberite Desktop and Tablets (Desktop i tablet), na ovaj način ćete pristiputi listi uređaja na kojima je aktivan vaš Viber nalog.
• Sa ponuđene liste potrebno je izabrati uređaj koji želite da deaktivirate.
• Potvrdite deaktivaciju kada se to od vas zatraži.

Primenom navedenih koraka možete ukoloniti vaš Viber nalog sa odabranih uređaja i na taj način onemogućiti korišćenje svog naloga na nekom od njih.

Nacionalni CERT Republike Srbije obaveštava sve korisnike interneta da je u toku fišing kampanja kojom se zloupotrebljava pandemija virusa COVID-19, a tiče se aktuelne situacije u zemlji, povodom izdavanja Digitalnih zelenih sertifikata. Fišing kampanja se najčešće realizuje putem poruka elektronske pošte. 

Fišing poruka sadrži link za preuzimanje elektronskog dokumenta o vakcinaciji, i od korisnika se traži da klikom na link preuzme navodni Digitalni zeleni sertifikat. Pošiljalac mejla iz primera predstavlja se kao izvesna Zorica Torlak, Rukovodilac službe Apoteka Beograd.

 
Legitimni izdavalac Digitalnog zelenog sertifikata u Republici Srbiji je Kancelarija za informacione tehnologije i e-Upravu, zbog čega je preporuka Nacionalnog CERT-a da korisnici obrate pažnju ukoliko prime poruku od nekog drugog navodnog izdavaoca Digitalnog zelenog sertifikata, ne otvaraju takvu poruku elektronske pošte već je izbrišu.

Primer fišing mejla možete videti na slici ispod:

Kompanija Kaspersky Lab otkrila je novu vrstu malicioznog softvera pod nazivom Rakhni Trojan (Trojan-Ransom.Win32.Rakhni). U zavisnosti od želje zlonamernih korisnika koji ga distribuiraju, ovaj tip malicioznog softvera ima mogućnost da se pokrene kao ransomware, rudar kriptovaluta ili kao mrežni crv (net-worm). Ova vrsta trojanca inicijalno proverava sadržaj na računarima, a nakon provere hakeri odlučuju koja od mogućih opcija malicioznog softvera će biti pokrenuta. 

Ova vrsta malicioznog softvera je primećena na teritoriji Rusije i širi se dalje putem spama i fišing kampanja, koje u sebi sadrže imejl poruke sa lažnim korporativnim finansijskim dokumentima. Po otvaranju imejla, korisnici dobijaju instrukcije kako da otvore PDF fajl koji se nalazi u prilogu (attachment). Klikom na ''PDF'' pokreće se maliciozni softver napisan u programskom jeziku Delphi, koji koristi lažni digitalni potpis Adobe Systems Incorporated. 

Ukoliko napadač odluči da pokrene opciju ransomware, korisniku će se pojaviti poruka MESSAGE.txt sa zahtevom za otkup enkripcionih ključeva.
Ukoliko napadač odluči da pokrene opciju kripto-rudarenja, generisaće se VBS skript sa komandom za rudarenje kriptovaluta Monero i Dashcoin.
Ukoliko ne postoje mogućnosti profitabilnog iskorišćavanja prethodne dve opcije ovog malicioznog softvera, napadač može da se odluči da pokrene opciju mrežnog crva (net-worm) i omogući trojancu da kreira sopstvene kopije na lokalnoj mreži korisnika i time pokuša da sprovede isti postupak i na drugim dostupnim računarima.

Za više detalja, molimo vas da posetite link: threatpost.com