Kako je hakovan Teleprompter

Želeo bih ovom prilikom direktno da vam se obratim. Moje ime je Danilo Redžepović i ja sam glavni i odgovorni urednik portala Teleprompter.rs. Ne želim da pišem u prvom licu množine, već želim direktno da vam se obratim, jer mi je tako lakše da vam objasnim šta se dešava sa Teleprompterom i šta se dešavalo sa Telepromterom pre hakovanja i brisanja.

Prvo, kako je došlo do hakovanja Telepromptera. Čitam komentare na ovom privremenom sajtu i na društvenim mrežama. Stekao sam utisak da je administrator, odnosno ja, lično odgovoran za hakovanje, jer nisam učinio dovoljno da zaštitim sajt. Da budem iskren, jednim delom ja jesam lično odgovoran. Međutim, smatram da ne snosim kompletnu odgovornost.

Prvo, sajt nije bio, narodski rečeno, “na izvol’ te”. Sajt je bio zaštićen. Hakovani mejlovi nisu bili “na izvol’ te”. U datom trenutku sam učinio sve kako bih zaštitio sajt i mejlove. Međutim, sada je očigledno da nisam učinio dovoljno.

Drugo, ja sam jedina osoba koja uređuje, piše većinu tekstova i obavlja poslove administratora sajta. Nekima je to možda nepojmljivo i neozbiljno, ali je tako iz više razlog. Teleprompter.rs sam ja lično pokrenuo i razvio u ono što danas jeste. Ranije nisam radio sam, ali su moji saradnici vremenom odlazili kada sam počeo da pišem o politici na način na koji pišem. Nisu želeli da se mešaju u politiku i to u potpunosti razumem.

Ne mogu da nabrojim koliko sam puta čuo rečenice poput: “Budi oprezan. Pazi šta pišeš. Znaš, mislim da ne bi trebalo da se baviš politikom. Znaš, opasni su oni. Oni sve kontrolišu. Pazi da ti se nešto ne desi. Ne možeš sam protiv njih. Boriš se sa vetrenjačama…”

Možda ti svi ljudi jesu u pravu, ali nisu u pravu kada sam ja u pitanju. S jedne strane, znam da radim pravu stvar i nikada nisam odustajao od svojih čvrsto zacrtanih ciljeva zbog napada. S druge strane, kada pročitam sve mejlove podrške čitalaca Telepromptera, osećam još veću odgovornost da nastavim da radim kako sam počeo.

Jučerašnji napad na sajt je bio najjači do sada. Napokon su uspeli u nameri da ga ugase i unište. Međutim, to za mene ne predstavlja znak da bi trebalo da se predam. Štaviše, dobio sam još veću snagu da povratim sajt i da nastavim dalje. U inat svima onima koji su osmislili “sofisticiran” plan za uništenje Telepromptera.

Želeo bih prvo da vama objasnim kako je sve bilo postavljeno.

Najvažniji delovi sajta bili su povezani sa centralnim mejlom “[email protected]“. Taj mejl je bio zaštićen, ili sam ja barem do juče mislio da je bio zaštićen. Bio je povezan sa alternativnom imejl adresom ([email protected]) u slučaju hakovanja. Taj alternativni mejl bio je povezan sa mojim drugim mejlom ([email protected]). Taj alternativni mejl alternativnog mejla bio je povezan sa mojim trećim mejlom ([email protected]). Bilo je tu još nekoliko mejlova, ali njihovu ulogu ću objasniti u nastavku teksta.

Svi mejlovi su bili povezani sa mojim privatnim mobilnim telefonom. Šifre su sve bile različite i komplikovane za amatersko hakovanje. Primer šifre: Mp+?klP$101

Dalje, svaki od tih pojedinačnih mejlova upravljao je različitim nalozima. Jedan mejl je upravljao sajtom, drugi serverima, treći Tviter nalogom, čevrti domenom, itd…

Kada sam tog jutra ustao iz kreveta i pogledao telefon, imao sam šta da vidim. Desetak poruka od Gugla u kojima piše da su šifre za pojedine mejlove promenjene. Jedan deo poruka se odnosio na verifikacione kodove.

Prvu poruku sam dobio tačno u 7:32. Poruka se odnosila na verifikacioni kod. Dakle, neko je pokušao da promeni šifru i Gugl mi je poslao verifikacioni kod koji sam, navodno, samo ja mogao da vidim i znam. Sledeća poruka mi je stigla u 7:34. To je bilo obaveštenje da je promenjena šifra za mejl [email protected]. Ostaje nejasno kako je taj kod, koji sam samo ja mogao da vidim, iskorišćen za promenu šifre.

Sledeću poruku sam dobio u 7:37. Još jedna poruka sa verifikacionim kodom. Zatim u 8:15, pa u 9:58, u 10:06, u 10:10. To su sve bile poruke sa verifikacionim kodovima.

Samo da napomenem, neke poruke sam ja inicirao kada sam shvatio šta se dešava i pokušao da povratim hakovane mejlove.

Naredna poruka stiže u 10:13 sa porukom da je promenjena šifra za [email protected]. Zatim, isto u 10:13, stiže još jedan verifikacioni kod. Pa opet u 10:17, u 10:20, 10:22, 10:30, 10:35. U tom trenutku sam izgubio rat u povraćaju kontrole nad nalozima.

Više nisam znao za koji mejl mi je stizao koji verifikacioni kod. Hakeri su uspeli da promene sve alternativne mejl adrese za sve mejl adrese, kao i broj telefona za verifikaciju. Taj broj ću objaviti u nastavku.

Dva, tri puta sam uspeo da povratim kontrolu nad mejlovima, ali su hakeri uvek bili jedan korak ispred mene. Čim ja nešto promenim, oni ponovo vrate na svoje. Na samom početku su promenili šifru za zvanični Tviter nalog. Međutim, kada sam jednom uspeo da povratim kontrolu nad mejlom sa kojim je Tviter bio povezan, uspeo sam da prepravim šifru za Tviter.

Oko 10 časova, na sajtu se pojavila stranica Republike Kosovo.

Odmah sam pokušao da se ulogujem na servere i dobio sam obaveštenje da je promenjena šifra. Kontaktirao sam hosting provajdera “Bluehost” iz SAD i par sati nisam mogao da stupim u kontakt sa tehničkom službom. Nakon sat, dva vremena, javila mi se tehnička služba. Pošto je šifra bila promenjena, nisam mogao da potvrdim svoj identitet.

Zahtevali su od mene da im pošaljem fotokopiju lične karte. Pošto Amerikanci ne znaju da čitaju ćirilicu, morao sam da im šaljem fotokopiju pasoša. No, kada sam uspeo da potvrdim svoj identitet, fina devojka iz tehničke podrške saopštila mi je da je mejl adresa promenena u “[email protected]”. Rekao sam joj da to nije moja adresa i da nikada nisam imao takav mejl. Zatim je promenila šifru, uklonila tu mejl adresu, postavila moju i omogućila mi pristup serverima.

Kada sam nakon nekoliko sati od početka hakerskog napada uspeo da uđem na servere, imao sam šta da vidim – NIŠTA! Obrisali su sve fajlove, fotografije, tekstove, baze podataka, mejl naloge, šifre, itd… Kao da sam po prvi put napravio nalog.

Obrisane sve baze podataka.

Imajući u vidu to da sam hosting zakupio od “Bluehost” provajdera, koji garantuje kopije celokupnog sajta na dnevnom, nedeljnom i mesečnom nivou, kontaktirao sam ponovo tehničku podršku kako bih saznao da li postoji kopija sajta.

Rekli su mi da postoji kopija sajta i to su odlične vest! Sada preostaje da se sve analizira kako bih znao da li je nešto oštećeno i da li je kopija ispravna i upotrebljiva. Čim budem to uradio i ako sve bude u najboljem redu, sajt će ponovo biti dostupan. Međutim, za to ću kontaktirati stručnjake, iako bih i sam možda mogao sve da uradim, ali ne želim da rizikujem.

Posle svega toga, kontaktirao sam kompaniju kod koje sam zakupio domen http://www.teleprompter.rs. Izuzetno prijatni ljudi su mi rekli da je domen preusmeren na sajt Republike Kosovo, ali da nije ukraden ili ugašen. To mi je bilo najbitnije. Pošto ni tu nisam mogao da potvrdim svoj identitet, morao sam i njima da pošaljem fotokopiju lične karte kako bih povratio kontrolu nad domenom.

Da se vratim na početak teksta gde sam napisao da ću vam objasniti ulogu drugih, sporednih mejlova.

Jednoga dana mi je ta ista kompanija kod koje sam zakupio domen poslala mejl pod sledećim naslovom: “Opomena pred tužbu – čisto da znate”. Bio sam zbunjen zbog čega bi registrant domena želeo da me tuži. Međutim, u tekstu poruke sam saznao o čemu se tačno radi.

Naime, jedna advokatska kancelarija dostavila je registrantu domena opomenu pred tužbu zbog jedne fotografije koju sam objavio na sajtu Teleprompter.rs. Reč je o fotografiji Jorgovanke Tabaković koju sam preuzeo sa sajta Kurira i fotografiju uvrstio u tekst o tome da je Jorgovanka Tabaković doktorirala na privatnom EDUCONS univerzitetu u Novom Sadu.

Dakle, autor te fotografije, iako je fotografija uredno bila potpisana sa “FOTO: Kurir”, žalio se advokatu koji je registrantu domena uputio opomenu pred tužbu, uz zahtev da se fotografija ukloni, jer sam autoru teksta naneo materijalnu štetu što nisam njega imenom i prezimenom potpisao. Po zakonu je treblo njega lično da potpišem, ali je opšta praksa u svim medijima da se navede samo izvor fotografije.

Međutim, po mom mišljenju, nije sporna fotografija, nego tekst u okviru kojeg je objavljena fotografija – sumnjivi doktorat Jorgovanke Tabaković.

Ove informacije do sada nikada nismo objavili. Advokat se nikada meni nije obratio povodom sporne fotografije. Tužba nije podneta.

Kada sam video da pokušavaju preko registranta na neki način da onesposobe domen, promenio sam mejl adresu koja je bila vezana za domen teleprompter.rs. Napravio sam namensku mejl adresu samo za kontrolu nad domenom teleprompter.rs. Ta adresa nigde nije bila objavljena i samo sam ja znao za njeno postojanje.

Međutim, hakovana je i ta mejl adresa, promenjena je šifra i nalog je obrisan! Dakle, to su četiri mejl adrese koja su hakovane, izmenjene i obrisane u roku od sat, dva. Posebno je interesantno što hakeri nisu mogli da znaju za šta su sve mejl adrese bile korišćene. Međutim, možda i jesu… To nisam uspeo da utvrdim. Ne isključujem mogućnost da mi je na računar ubačen virus koji prati šta kucam, ali antivirus takav program nije detektovao.

Svi hakovani mejlovi bili su povezani sa hakerskim mejlom “[email protected]”. Dakle, nikako nisam mogao da povratim kontrolu nad mejlovima.

Sve u svemu, hakovan je centralni mejl, jedna privatno-poslovna mejl adresa, jedna privatna mejl adresa kao i jedna mejl adresa koja nije bila dostupna javnosti.

U dodatku, sa mojom privatnom mejl adresom koju imam napravio pre 10 godina bio je povezan moj lični Fejsbuk nalog. Kada sam shvatio da su mi i Fejsbuk nalog hakovali, odmah sam otišao na zvaničnu Fejsbuk strancu Telepromptera (facebook.com/teleprompter.rs) da vidim da li je dostupna. Prema mojim očekivanjima, stranica je bila nedostupna, ali je moj Fejsbuk nalog bio dostupan.

Pokušao sam da povratim Fejsbuk nalog i u tome sam uspeo tako što sam tačno odgovorio na nekoliko pitanja u vezi sa mojim privatnim živitom. Tada mi je Fejsbuk saopštio da sam uspeo da potvrdim svoj identitet i nalog je blokiran na 24 sata. Kada je u toku današnjeg dana istekao rok od 24 sata, ponovo mi je mogućeno da pristupim privatnom Fejsbuk nalogu za koji je bila vezana stranica Telepromptera.

Prema mojim saznanjima, ništa nije bilo obrisano sa privatnog profila. Međutim, kada sam otišao na stranicu Telepromptera, ustanovio sam da je neko zaista ugasio stranicu. Međutim, brisanje stranice je bilo zakazano za 13 dana. Odmah sam deaktivirao zakazano brisanje. To je verovatno Fejsbukov sistem zaštite i na tome sam ih zahvalan!

Koliko sam ja uspeo da zaključim, a možda grešim, namera hakera nije bila da ugase sve što je vezano za Teleprompter i da ukradu moje privatne podatke, već samo da se uništi Teleprompter. Tako je sa profila samo onesposobljena Fejsbuk stranica sajta. Sa mejlova su obrsani svi mejlovi, ali haker, iz nekog razloga, nije ispraznio smeće, pa sam uspeo da povratim sve nove i stare poruke. Nisam uspeo da povratim mejlove sa servera, ali ću to znati za sigurno kada budem pristupio analizi kopije sajta.

Kako sam povratio sve mejl naloge?

Iskreno mislim da me je samo pratila sreća. Nikada se ranije nisam susretao sa procesom obnove obrisanih mejl naloga. Međutim, uspeo sam da pronađem sistem. Kao i sa vraćanjem Fejsbuk naloga, odgovorio sam tačno na nekoliko pitanja u vezi sa detaljima koje sam samo ja znao. Gugl mi je zatim omogućio da pristupim nalozima. Tada sam promenio sve šifre, alternativne mejlove i ostale bitne podatke. Takođe, aktivirao sam svaku moguću vrstu zaštitu koja se nalazi u Guglovoj ponudi!

Isti proces sam morao da ponovim više puta kako bih povratio svaki obrisani mejl nalog.

Neka od pitanja na koja sam morao da ponudim tačne odgovore četiri puta za različite mejl naloge:

1. Kada ste poslednji put mogli da pristupite mejl nalogu?

2. Mesec i godina kada ste kreirali mejl nalog? (Da li vi znate odgovor na ovo pitanje?)

3. Pet imejl adresa sa kojima najčešće komunicirate.

4. Nabrojte tabove koje koristite.

Dok sam se prisećao tačnih odgovora, sat je otkucao šest časova ujutro. No, bitno je da sam uspeo da povratim svaki mejl nalog, osim jednog, onog koji je ranije bio povezan sa domenom.

Kada sam povratio naloge, odmah sam pristupio traganju za dokazima koji bi mi otkrili identitet hakera. Preko logova sam pronašao imejl adresu koja je korišćena za hakovanje, broj telefona hakera koji je morao da unese zbog verifikacionih kodova, kao i lokaciju i IP adresu kompjutera.

Saznao sam da je napad izvršen iz Beograda sa IP adrese koja pripada Telekomu – 93.86.62.126. Toliko o tvrdnji da su napad izvršili Albanci. Kosovski sajt je samo diverzija. Dalje, saznao sam da je napad izvršen preko Epl kompjutera.

Broj tekefona koji su hakeri koristili je 062/000-2232.

Ovaj vešto organizovan hakerski napad imao je za cilj dve stvari – da se ugasi i uništi Teleprompter.rs i da mi se oduzme moć da komuniciram sa ljudima. Tviter sam na samom početku, nekim čudom, uspeo da povratim i to je bio jedini način na koji sam mogao da komuniciram sa pratiocima i čitaocima Telepromptera. Pošto su mi odmah onemogućili pristup privatnom Fejsbuk profilu, Tviter je bio jedini način da u javnost iznesem podatke o tome šta se dešavalo.

Da nije bilo Tvitera i tviteraša, zaista ne znam kako bi se sve odvijalo i završilo. Najiskrenije vam se svima zahvaljujem! Tviter je bio jedina svetla tačka tog mračnog dana. Preko Tvitera sam uspeo da razglasim priču o tome šta se desilo i da objavim još jedan tekst o SNS botovima koji je trebalo da bude objavljen na sajtu Teleprompter.rs. Zaista sam neizmerno zahvalan!

Ovo nije prvi hakerski napad na Teleprompter.rs. Podsetimo da je Teleprompter.rs bio jedan od oborenih sajtova tokom majskih poplava. Aleksandar Vučić je na neki način uspeo da pronađe izgovor za rušenje ostalih sajtova, ali pad Teleproptera još nije uspeo da obrazloži i opravda.

Podsetimo još da su SNS botovi ranije koristi program “SkyNet” koji je bio osposobljen da izvršava DDoS napade. Kako je Vučić reagovao na optužbe OEBS-a: “Oni su lagali, a ja sam govorio istinu”. Sada ja njemu kažem: “Ti si lagao, oni su govorili istinu”.

Međutim, to je stara priča.

U proteklih nekoliko meseci, na sada obrisani zvanični mejl redakcije, [email protected], dobijao sam nekoliko izuzetno čudnih mejlova. Na primer, 25. septembra 2014. godine dobio sam sumnjiv mejl sa adrese [email protected]. Dakle, reč je o domenu državne ustanove – gov.rs. Sadržaj mejla nikada nismo otvarali, iako bi možda neki poleteli da vide šta im je vlada poslala.

Posle tog mejla, dobijao sam identične mejlove sa zvaničnih domena Večernjih novosti, SBB-a i EuNeta. Takođe, ni te mejlove nisam otvarao.

Zatim, još jedan pokušaj hakerskog napada izvršen je 14. januara 2015. godine. Ovaj hakerski napad je bio neverovatan. U jednom trenutku sam primio više od 400 mejlova!

Sadržaj mejlova je bio još interesantniji.

Odmah sam kontaktirao “SHARE Fondaciju” i prosledio im dokaze. Njihovi programeri objasnili su mi da je bio izvršen hakerski napad pod nazivom “code injection”. To je bio pokušaj da se u bazi podataka pronađu slabe tačke kako bi se sajt onesposobio.

Napad je bio izvršen preko kontakt forme koja se tada nalazila na sajtu. Nismo koristili bilo kakvu kontakt formu, već onu koju koristi nekoliko milion korisnika WordPress platforme. Kontakt formu smo odmah uklonili sa sajta.

Ovaj pokušaja hakerskog napada odlučio sam da ne objavljujem da ne bih isprovocirao hakera koji je pokušao da izvrši napad. Međutim, sada mi je u potpunosti svejedno.

Iskreno sam objavio sve detalje hakerskih napada na Teleprompter.rs. Ranije nisu uspevali, ali sada jesu. Svako ko bude čitao ovaj tekst imaće svoje teorije i svoja mišljenja. Da li sam ja napravio nekoliko propusta u pogledu bezbednosti, da li su isključivo krivi hakeri, ili kombinacija dve varijante… Međutim, jedna stvar je, po mom mišljenju, jasna:

Umesto da se bavimo pisanjem tekstova i traganjem za istinom, svi sajtovi koji na naki način pišu o politici, moraju najviše energije da ulažu u bezbednost, a ne na pisanje tekstova. Na taj način se vešto skreće s teme. Više ne razmišljamo o tome kako ćemo sutradan otkriti neku zloupotrebu, već razmišljamo o tome šta će nam se desiti ako objavimo neki tekst. Je li to demokratija i sloboda govora?

Smatram da bi situacija trebalo da bude obrnuta. Mi (zvanični i alternativni novinari, zvanični i alternativni sajtovi) bi trebalo prvenstveno da razmišljamo o traganju za istinom, a država da se brine o stvaranju bezbedne i slobodne atmosfere za naš rad.

Srbija nije takva država.

U Srbiji se prvo zapitate šta će vam se desiti pre nego što objavite neki tekst, pa onda izvagate koliko biste izgubili objavljivanjem teksta. To nije normalno!

Razmišljao sam o tome da sve ove podatke prosledim Sektoru za visokotehnološki kriminal MUP-a, ali sam odustao od te namere jer im ne verujem! Ne verujem državnim institucijama, a mislim da većina mojih sugrađana deli moje mišljenje. Umesto da se osećamo bezbedno, mi se osećamo ugroženo.

U martu sam dobio poziv od Ministarstva kulture i informisanja da prisustvujem sastanku o bezbednosti onlajn sajtova koji je bio održan 17. marta u Media centru NUNS-a. Predavanje su vodili javni tužilac za visokotehnološki kriminal i načelnik Sektora za visokotehnološki kriminal MUP-a (mrzi me i da tražim njegova imena jer su oni u potpunosti nevažne osobe).

Ideja je bila da nas oni posavetuju oko bezbednosti na internetu. Iskreno, sastanak je bio toliko besmislen da se ni ne sećam detalja. U suštini, nikakve konkretne savete nismo dobili. Tužilac je pričao o pravnoj regulativi, a čovek iz MUP-a o tome kako oni otkrivaju sajber napade. Sam je priznao da taj sektor MUP-a nema nikakvu opremu i da su izuzetno ograničeni po pitanju ljudstva. Čak je izjavio da hakere otkrivaju preko foruma! Rekao je da ponekad posećuju hakerske formume i traže da li se neki haker hvalio zbog uspešno izvršenog napada! (?)

Međutim, kada sam javnom tužiocu postavio pitanje da li poseduju dokaze da je neka stranka ili neka državna institucija vršila napade, njegov govor tela i ton se automatski promenio i odrično mi je odgovorio: “Ne!” Pitao sam ga da li zna da SNS ima program za izvođenje DDoS napada, on je rekao da nema pojma.

Isto pitanje sam uputio čoveku iz MUP-a, ali je on samo ćutao. Nije mi ništa odgovorio.

Oni su “glavni” iz oblasti visokotehnološkog kriminala, a nemaju pojma s čime barataju pojedine političke stranke. Svi se prave kao da stranke ne ruše sajtove. Svašta, zašto bi oni to radili? Međutim, samo se ruše sajtovi koji pišu negativno o Aleksandru Vučiću i njegovoj vladi. Kada je poslednji put srušen sajt koji je hvalio vladajuću garnituru? Kada je poslednji put srušen sajt koji piše o Jeleni Karleuši i Staniji? Kada je poslednji put srušen sajt o životinjama?

Ruše se samo sajtovi koji objavljuju negativne tekstove o politici i političarima, ali stranke ih ne ruše. Ko ih onda ruši? Čak sam pročitao i nekoliko komentara u kojima se navodi da smo mi sami srušili Teleprompter.rs da bismo optužili Vučića!

Ako neko u to želi da veruje, neka veruje. Ali, meni je lično draže kada objavim neki tekst o kriminalu SNS botova i lažima Aleksandra Vučića, nego da sam sebi nanosim trošak vremena i novca rušenjem i brisanjem sopstvenog sajta!

Sve u svemu, radim na vraćanju sajta, ali sam prvo morao da objavim ovaj tekst. Neće ovaj slučaj završiti u fioci Sektora za visokotehnološki kriminal, već će biti detaljno opisan i objavljen. Dok MUP shvati da ništa ne može, niti želi da učini, tada je već kasno.

Ukoliko imate dodatnih pitanja ili želite da mi se obratite iz bilo kog razloga, možete mi pisati na imejl adresu: [email protected]. ([email protected] više ne funkcioniše).

Bićemo u kontaktu i nastaviću da vas izveštavam putem ovog sajta.

Danilo Redžepović

Telepromter.rs, 18.04.2015.

Peščanik.net, 19.04.2015.