S3 Ep112: Vdori podatkov vas lahko preganjajo več kot enkrat! [Avdio + besedilo]

Kliknite in povlecite spodnje zvočne valove, da preskočite na katero koli točko. Lahko tudi poslušaj neposredno na Soundcloudu.

DOUG.  Zamenjava kartice SIM, zero-days, [dramatičen glas] Ping DEATH in LastPass ... spet.

Vse to in še več v podcastu Naked Security.

[GLASBENI MODEM]

Dobrodošli v podcastu vsi.

Jaz sem Doug Aamoth.

Z mano je, kot vedno, Paul Ducklin.

Paul, kako si?

---

RACA.  Zelo dobro, Doug.

V ta uvod si vnesel nekaj visoke drame, vesel sem, da vidim!

---

DOUG.  No, kako rečeš "Ping of Death", ne da bi rekel [doom metal grom] "Ping of DEATH"?

Ne moreš kar reči [nežen glas] "Ping smrti".

Malo ga moraš udariti …

---

RACA.  Mislim, da.

Pri pisanju je drugače – kaj imaš?

Krepko in poševno.

Uporabil sem običajno besedilo, vendar sem uporabil velike črke, kar pomaga.

---

DOUG.  Da, mislim, da bi besedo "death" dal krepko in ležeče, torej [spet doom metal] "The Ping of DEATH".

---

RACA.  In uporabite več barv!

To bom naredil naslednjič, Doug.

---

DOUG.  Razbijte staro oznako v HTML, naj malo utripa? [SMEH]

---

RACA.  Doug, za trenutek me je skrbelo, da boš uporabil besedo [SMEH] .

---

DOUG.  [SMEH] Tukaj obožujemo stare stvari!

In to se lepo ujema z našim Ta teden v zgodovini tehnologije segment – ​​nad tem sem navdušen, ker še nisem slišal zanj, ampak sem slučajno naletel nanj.

Ta teden, 04. decembra 2001, je črv Goner opustošil internet tako hitro kot virus Love Bug.

Goner se je razširil prek Microsoft Outlooka in nič hudega slutečim žrtvam obljubil zabaven ohranjevalnik zaslona ob izvedbi.

---

RACA.  Goner ...

Mislim, da je dobil to ime, ker je bilo na koncu pojavno okno, kajne, ki je omenjalo Pentagon?

Vendar je bilo mišljeno kot besedna igra - bilo je "Penta/Gone".

To je bil zagotovo tisti črv, ki je ljudi spomnil, da so ohranjevalniki zaslona Windows v resnici samo izvršljivi programi.

Torej, če ste bili pozorni posebej na .EXE datoteke, no, lahko bi jih zavili .SCR (ohranjevalnik zaslona) tudi datoteke.

Če bi se zanašali le na imena datotek, bi vas zlahka prevarali.

In veliko ljudi je bilo, na žalost.

---

DOUG.  V redu, prešli bomo iz stare šole v novo šolo.

Govorimo o LastPass: prišlo je do kršitve; sama kršitev ni bila strašna; vendar je ta kršitev zdaj povzročila novo kršitev.

Ali pa je to morda le nadaljevanje prvotne kršitve?

LastPass priznava kršitev podatkov strank, ki jo je povzročila predhodna kršitev

---

RACA.  Da, LastPass je pisal o tem v bistvu kot nadaljevanje prejšnje kršitve, za katero mislim, da je bila avgusta 2022, kajne?

In kot smo takrat rekli, je bil LastPass zelo neprijeten videz.

Toda glede na kršitve je bilo verjetno slabše za njihove oddelke za odnose z javnostmi, marketing in (predvidevam) za njihove oddelke za intelektualno lastnino, ker se zdi, da je bila glavna stvar, ki so jo prevaranti rešili, izvorna koda iz njihovega razvojnega sistema.

In LastPass je hitro pomiril ljudi ...

Prvič, njihove preiskave so pokazale, da prevaranti, medtem ko so bili tam notri, niso mogli narediti nobenih nepooblaščenih sprememb, ki bi se lahko pozneje prebile v pravo kodo.

Drugič, dostop do razvojnega sistema vam ne daje dostopa do proizvodnega sistema, kjer je zgrajena dejanska koda.

In tretjič, lahko so rekli, da se zdi, da niso bili ukradeni nobeni šifrirani trezorji gesel, zato do shrambe v oblaku vaših šifriranih gesel ni bilo dostopa.

In tudi če bi do njega dostopali, bi samo vi vedeli geslo, ker se dešifriranje (kar ste poimenovali »težko delo«, ko smo o tem govorili v podcastu) dejansko izvaja v pomnilniku vaših naprav – LastPass nikoli ne vidi vašega geslo.

In potem, četrtič, so rekli, kolikor lahko rečemo, da so zaradi te kršitve nekatere stvari, ki so bile v razvojnem okolju, zdaj dale enako ... ali morda popolnoma drugačno obremenitev sleparjev, ki so kupili ukradeni podatki iz prejšnje serije, kdo ve?

To jim je omogočilo, da so prišli do neke storitve v oblaku, kjer je bil ukraden nekaj še očitno neznanih podatkov o strankah.

Mislim, da še ne vedo povsem, saj lahko traja nekaj časa, da se ugotovi, do česa se je dejansko dostopalo po vdoru.

Zato mislim, da je pošteno reči, da je to nekakšna stran B prvotne kršitve.

---

DOUG.  V redu, predlagamo, da če ste stranka LastPass, spremljate poročilo o varnostnem incidentu podjetja.

To zgodbo bomo spremljali, saj se še razvija.

In če se tako kot midva s Paulom preživljaš z bojem proti kibernetskemu kriminalu, se lahko iz kršitve Uberja naučimo nekaj odličnih lekcij.

To je torej epizoda podcasta – »minizoda« – s Chesterjem Wisniewskim, ki jo je Paul vdelal na dno članka LastPass:

S3 Ep100.5: Kršitev Uber – strokovnjak govori [zvok + besedilo]

Na tem področju se je treba veliko naučiti!

---

RACA.  Kot pravite, to je odlično poslušanje, ker verjamem, da je to tisto, kar je v Ameriki znano kot "dejavni nasvet" ali "novica, ki jo lahko uporabite".

---

DOUG.  [SMEH] Čudovito.

Ko že govorimo o novicah, ki jih v resnici ne morete uporabljati, je Apple na splošno redkobeseden glede svojih varnostnih posodobitev ... in bila je varnostna posodobitev:

Apple izriva varnostno posodobitev za iOS, ki je bolj skromna kot kdaj koli prej

---

RACA.  Oh, Doug, to je eden tvojih najboljših... Všeč mi je ta nastavek.

---

DOUG.  [SMEH] Hvala; najlepša hvala.

---

RACA.  Ja, to me je presenetilo.

Mislil sem si: "No, zgrabil bom posodobitev, ker se sliši resno."

In dal sem si razlog: "Naj to storim za bralce Naked Security."

Ker če to naredim in ni stranskih učinkov, potem lahko vsaj rečem drugim ljudem: »Poglejte, to sem naredil na slepo in ni mi prišlo do nobene škode. Torej morda lahko to storite tudi vi.«

Nenadoma sem opazil, da je na voljo posodobitev za iOS 16.1.2, čeprav od Appla nisem prejel e-pošte z varnostnimi nasveti.

Brez elektronske pošte?!

To je čudno.. zato sem šel na HT201222 portalska stran, ki jo ima Apple za svoje varnostne biltene, in tam je bilo: iOS 16.1.2.

In kaj piše, Doug, "Podrobnosti sledijo kmalu"?

---

DOUG.  In ali so kmalu sledili?

---

RACA.  No, to je bilo pred več kot enim tednom, pa jih še ni.

Torej govorimo o "kmalu", kar pomeni ure, dneve, tedne ali mesece?

Trenutno je videti kot nekaj tednov.

In kot vedno pri Applu, nič ne kaže, da bi imel kaj opraviti z drugimi operacijskimi sistemi.

Ali so pozabljeni?

Ali ne potrebujejo posodobitve?

Ali so tudi oni potrebovali posodobitev, pa preprosto še ni pripravljena?

Ali so bili izključeni iz podpore?

Vendar se je zdelo, kot sem rekel v naslovu, še bolj skromen kot običajno za Apple in ni nujno najbolj koristna stvar na svetu.

---

DOUG.  V redu, zelo dobro … še nekaj vprašanj, ki nas pripeljejo do naše naslednje zgodbe.

Zelo zanimivo vprašanje!

Včasih, ko se prijavite za storitev in ta uveljavi dvostopenjsko avtentikacijo, piše: »Ali želite prejeti obvestilo prek besedilnega sporočila ali želite uporabiti aplikacijo za preverjanje pristnosti?«

In ta zgodba je opozorilo, da ne uporabljajte telefona – uporabite aplikacijo za preverjanje pristnosti, četudi je nekoliko bolj okorna.

To je zelo zanimiva zgodba:

Zamenjalec kartice SIM poslan v zapor zaradi ropa kriptovalute 2FA v vrednosti več kot 20 milijonov dolarjev

---

RACA.  Tako je, Doug!

Če ste kdaj izgubili mobilni telefon ali se zaklenili do svoje kartice SIM, ker ste prevečkrat vnesli napačno kodo PIN, boste vedeli, da lahko greste v trgovino z mobilnimi telefoni ...

... in običajno vas bodo vprašali za osebni dokument ali kaj podobnega, vi pa rečete: "Hej, potrebujem novo kartico SIM."

In ustvarili ga bodo za vas.

Ko ga vstavite v telefon, bingo! … na njem je vaša stara številka.

To torej pomeni, da če lahko prevarant opravi isto vajo, kot bi jo vi prepričali podjetje za mobilno telefonijo, da je »izgubil« ali »pokvaril« svojo kartico SIM (tj. *vašo kartico SIM*), lahko dobi ta kartica bodisi izročena, ali poslana, ali jim je nekako dana ...

… potem pa, ko ga priključijo na svoj telefon, začnejo prejemati vaše SMS kode za dvofaktorsko preverjanje pristnosti *in* vaš telefon preneha delovati.

To je slaba novica.

Dobra novica v tem članku je, da je bil to primer fanta, ki so ga aretirali zaradi tega.

Za 18 mesecev je bil poslan v zapor v ZDA.

On, s kopico sostorilcev – ali, z besedami ministrstva za pravosodje, Udeleženci sheme… [SMEH]

... so pobegnili s kriptovaluto ene določene žrtve, očitno v višini 20 milijonov dolarjev, če vas ne moti.

---

DOUG.  Uf!

---

RACA.  Zato se je strinjal, da bo priznal krivdo, prevzel zaporno kazen in takoj zasegel ... znesek je bil [pozorno bere] 983,010.72 $ ... samo da bi se tega takoj odpovedal.

Torej, verjetno je to imel naokoli.

In očitno ima tudi nekakšno zakonsko obveznost povrniti več kot 20 milijonov dolarjev.

---

DOUG.  Srečno vsem! Vso srečo.

Njegovo drugo [vokalno poševno] Udeleženci sheme tam lahko povzroči nekaj težav! [SMEH]

---

RACA.  Ja, ne vem, kaj se zgodi, če tudi oni zavrnejo sodelovanje.

Na primer, če ga samo obesijo, da se posuši, kaj se zgodi?

Vendar imamo v članku nekaj namigov in nekaj nasvetov o tem, kako povečati varnost (na več načinov kot le 2FA, ki ga uporabljate).

Torej pojdi in preberi to ... vsaka malenkost pomaga.

---

DOUG.  OK, ko že govorimo o "malenkostih" ...

… to je bila še ena fascinantna zgodba, kako skromna ping se lahko uporablja za sprožitev oddaljenega izvajanja kode:

Ping smrti! FreeBSD odpravlja crashtastično napako v omrežnem orodju

---

RACA.  [Spet mi je všeč nadaljevanje] Mislim, da si se izboljšal, Doug!

---

DOUG.  [SMEH] Danes mi gre...

---

RACA.  Od Appla do [šibkega poskusa doom vokala] Ping of DEATH!

Da, to je bila zanimiva napaka.

Mislim, da marsikomu ne bo povzročilo veliko škode, poleg tega *je* popravljen, tako da ga je enostavno popraviti.

Toda v FreeBSD je odličen zapis varnostno svetovanje...

...in je zabavna in, če lahko tako rečem, zelo poučna zgodba za trenutno generacijo programerjev, ki so se morda zanašali na: »Knjižnice tretjih oseb bodo to naredile namesto mene. Imate opravka z omrežnimi paketi nizke ravni? Nikoli mi ni treba razmišljati o tem ..."

Tu se je treba naučiti nekaj odličnih lekcij.

O ping utility, ki je edino omrežno orodje, za katerega vedo skoraj vsi, je dobilo ime po SONAR.

Greš [sproži hrup filmske podmornice] ping, nato pa se odmev vrne iz strežnika na drugi strani.

In to je funkcija, ki je vgrajena v internetni protokol, IP, z uporabo stvari, imenovane ICMP, ki je internetni protokol za nadzorna sporočila.

Gre za poseben nizkonivojski protokol, ki je veliko nižji od UDP ali TCP, ki so ga ljudje verjetno vajeni, in je zasnovan za natanko te stvari: »Ali si sploh še živ na drugem koncu, preden me začne skrbeti, zakaj vaš spletni strežnik ne deluje?«

Obstaja posebna vrsta paketa, ki ga lahko pošljete in se imenuje "ICMP Echo".

Torej pošljete ta majhen paketek s kratkim sporočilom v njem (sporočilo je lahko poljubno) in preprosto vam isto sporočilo pošlje nazaj.

To je samo osnovni način povedati: "Če se to sporočilo ne vrne, je omrežje ali celoten strežnik nedelujoč", namesto da je v računalniku kakšna težava s programsko opremo.

Po analogiji s SONAR-jem se program, ki pošilja te zahteve za odmev, imenuje ... [pavza] Naredil bom zvočni učinek, Doug ... [spet lažni hrup filma o podmornici] ping. [SMEH]

In ideja je, da greš, rečeš, ping -c3 (to pomeni trikrat preveri) nakedsecurity.sophos.com.

To lahko storite zdaj in od strežnikov WordPress, ki gostijo naše spletno mesto, bi morali prejeti tri odgovore, vsakega od njih v razmaku ene sekunde.

In pravi, da spletno mesto živi.

To vam ne pove, da spletni strežnik deluje; ne pove vam, da WordPress deluje; ne pove, da je Naked Security dejansko na voljo za branje.

Vendar vsaj potrjuje, da lahko vidite strežnik in da lahko strežnik doseže vas.

In kdo bi si mislil, da lahko ta skromen odgovor na ping spotakne FreeBSD ping program na tak način, da bi lažni strežnik lahko poslal nazaj sporočilo "Da, živ sem", ki bi lahko v teoriji (samo v teoriji; mislim, da tega v praksi ni storil nihče) sprožilo oddaljeno izvajanje kode na vaš računalnik.

---

DOUG.  Ja, to je neverjetno; to je neverjeten del.

Tudi če je dokaz koncepta, je to tako majhna stvar!

---

RACA.  O ping program sam dobi nazaj celoten IP paket, ki naj bi ga razdelil na dva dela.

Običajno bi jedro to opravilo namesto vas, tako da bi videli le podatkovni del.

Toda ko imate opravka s tako imenovanimi neobdelane vtičnice, kar dobite nazaj, je glava internetnega protokola, ki samo pravi: "Hej, ti bajti so prišli iz tega in tega strežnika."

In potem dobite stvar, imenovano »ICMP Echo Reply«, ki je druga polovica paketa, ki ga dobite nazaj.

Zdaj, ti paketi so običajno le 100 bajtov ali nekaj več, in če je IPv4, je prvih 20 bajtov glava IP, preostanek, karkoli že je, pa je Echo Reply.

To ima nekaj bajtov, ki pravijo: »To je odmevni odgovor,« in nato prvotno sporočilo, ki je šlo, in se vrača.

In tako je očitna stvar, Doug, ko ga dobiš, da ga razdeliš na ...

…glavo IP, ki je dolga 20 bajtov, in ostalo.

Uganete, kje je težava?

---

DOUG.  Povej!

---

RACA.  Težava je v tem, da so glave IP *skoraj vedno* dolge 20 bajtov – pravzaprav mislim, da še nisem videl takega, ki ne bi bil dolg.

In lahko ugotovite, da so dolgi 20 bajtov, ker bo prvi bajt šestnajstiški 0x45.

»4« pomeni IPv4, »5« pa ... »Oh, to bomo uporabili, da povemo, kako dolga je glava.«

Vzameš to število 5 in ga pomnožiš s 4 (za 32-bitne vrednosti) in dobiš 20 bajtov.

…in to je velikost verjetno šest sigma glav IP, ki jih boš kdaj videl na vsem svetu, Doug. [SMEH]

Vendar *lahko* dosežejo do 60 bajtov.

Če postavite 0x4F Namesto 0x45, ki pravi, da je v glavi 0xF (ali 15 decimalno) × 4 = 60 bajtov.

In koda FreeBSD je preprosto vzela to glavo in jo prekopirala v medpomnilnik na skladu, ki je bil velik 20 bajtov.

Preprosto staro šolsko prelivanje medpomnilnika.

Gre za častitljivo orodje za odpravljanje težav v omrežju, ki vsebuje častitljivo vrsto hrošča. (No, ne več.)

Torej, ko programirate in se morate ukvarjati s stvarmi na nizki ravni, o katerih nihče ni razmišljal že dolgo časa, ne sledite samo prejeti modrosti, ki pravi: »Oh, vedno bo 20 bajtov; nikoli ne boš videl česa večjega.”

Ker nekega dne lahko.

In ko pride ta dan, je morda tam namenoma, ker ga je prevarant namerno naredil.

Hudič je torej, kot vedno, v podrobnostih programiranja, Doug.

---

DOUG.  OK, zelo zanimivo; odlična zgodba.

S to zadnjo zgodbo o Chromu se bomo osredotočili na kodo.

Še en ničelni dan, s katerim je skupno število v letu 2022 devetkrat:

Številka devet! Chrome popravlja še en ničelni dan 2022, popravljen tudi Edge

---

RACA.  [Uradni glas, zveni kot posnetek] "Številka 9. Številka 9. Številka 9, številka 9," Douglas.

---

DOUG.  [SMEH] Je to Yoko Ono?

---

RACA.  To je Revolucija 9 iz "Belega albuma" Beatlov.

Yoko je mogoče slišati, kako rifa v tej pesmi – to zvočna kulisa, verjamem, da temu rečejo – toda očitno je bil del na začetku, kjer nekdo znova in znova govori "Številka 9, številka 9", v resnici testni trak, ki so ga našli naokoli.

---

DOUG.  Ah, zelo kul.

---

RACA.  Inženir EMI reče nekaj takega: "To je EMI testni trak številka 9" [SMEH], in očitno se mi niti ne zdi, da nihče ve, čigav glas je bil.

To nima nobene zveze s Chromom, Doug.

Ampak glede na to, da je nekdo prejšnji dan komentiral na Facebooku: "Ta Paul je začel izgledati kot Beatle" ... [neumno], kar se mi je zdelo nekoliko čudno.

---

DOUG.  [SMEH] Ja, kako naj bi to sprejel?

---

RACA.  ... Ugotovil sem, da bi lahko večerjal zunaj na "Številka 9".

Zdi se, da je deveti ničelni dan v letu doslej, Doug.

In to je popravek ene napake, pri čemer je napaka identificirana kot CVE 2022-4282.

Ker Microsoft Edge uporablja odprtokodno jedro Chromium, je bil tudi ranljiv in nekaj dni kasneje je Microsoft sledil posodobitvi za Edge.

Torej gre tako za Chrome kot za Edge.

Čeprav bi se ti brskalniki morali posodobiti, priporočam, da vseeno preverite – v članku vam pokažemo, kako to storite – za vsak slučaj.

Tukaj ne bom prebral številk različice, ker se razlikujejo za Mac, Linux in Windows v Chromu, drugačne pa so tudi za Edge.

Tako kot Apple je tudi Google glede tega malce zadržan.

Verjamem, da ga je našel eden od njihove ekipe za lov na grožnje.

Predvidevam, da so ga našli, ko so preiskovali dogodek, ki se je zgodil v naravi, in ga zato verjetno želijo obdržati pod klobukom, čeprav ima Google običajno veliko povedati o "odprtosti", ko gre za odpravljanje napak.

Lahko razumete, zakaj bi v takem primeru morda želeli nekaj časa, da se poglobite, preden vsem poveste, kako točno deluje.

---

DOUG.  Odlično ... in res imamo vprašanje bralca, ki je verjetno vprašanje, o katerem razmišlja veliko ljudi.

Cassandra vpraša: »Ali imajo iskalci hroščev le srečo pri iskanju hroščev? Ali pa so udarili po 'šivu', polnem hroščev? Ali pa Chromium izda novo kodo, ki ima več napak kot običajno? Ali pa se dogaja kaj drugega?"

---

RACA.  Ja, to je pravzaprav odlično vprašanje in bojim se, da bi lahko nanj odgovoril le na nekoliko šaljiv način, Doug.

Ker je Cassandra dala izbire A), B) in C), sem rekel: »No, mogoče je D) Vse našteto."

Vemo, da ko se v kodi pojavi hrošč določene vrste, je razumno domnevati, da je isti programer morda naredil podobne hrošče drugje v programski opremi.

Ali pa so drugi programerji v istem podjetju morda uporabljali tisto, kar je takrat veljalo za sprejeto modrost ali standardno prakso, in so morda sledili temu.

In odličen primer je, če pogledate nazaj na Log4J ... obstajal je popravek za popravek težave.

In potem, ko so šli iskat, "Oh, pravzaprav so tudi drugje, kjer so bile storjene podobne napake."

Torej je bil popravek za popravek in potem je bil popravek za popravek za popravek, če se spomnim.

Obstaja seveda tudi težava, da lahko ob dodajanju nove kode dobite napake, ki so edinstvene za to novo kodo in nastanejo zaradi dodajanja funkcij.

In zato ima veliko brskalnikov, vključno s Chromom, "nekoliko starejšo" različico, ki se je lahko držite, če želite.

In ideja je, da te "starejše" izdaje ... nimajo nobene nove funkcije, imajo pa vse ustrezne varnostne popravke.

Torej, če želite biti konzervativni glede novih funkcij, ste lahko.

Zagotovo pa vemo, da včasih, ko v izdelek vnesete nove funkcije, z novimi funkcijami pridejo nove napake.

In to lahko ugotovite, na primer, ko je na voljo posodobitev, recimo, za vaš iPhone, in dobite posodobitve, recimo, za iOS 15 in iOS 16.

Potem, ko pogledate sezname napak, je nekaj napak, ki veljajo samo za iOS 16.

In pomislite: "Pozdravljeni, to morajo biti napake v kodi, ki jih prej ni bilo."

Torej, da, to je možnost.

In mislim, da lahko druge stvari, ki se dogajajo, štejemo za dobre.

Prvi je ta, da menim, da so izdelovalci brskalnikov, zlasti pri stvareh, kot so brskalniki, vse boljši pri zelo, zelo hitrem izrivanju popolnih ponovnih gradenj.

---

DOUG.  Zanimivo.

---

RACA.  In mislim, da je druga stvar, ki se je spremenila, ta, da bi v preteklosti lahko trdili, da je bilo za mnoge prodajalce ... precej težko ljudi pripraviti do tega, da sploh uporabljajo popravke, tudi če so izhajali samo na mesečnem razporedu in tudi če v sebi so imeli več popravkov ničelnega dne.

Mislim, da je to morda tudi odgovor na dejstvo, da je vse več nas vse bolj verjetno, da ne bomo le sprejeli, ampak dejansko *pričakovali* samodejno posodabljanje, ki je res hitro.

Torej, mislim, da lahko iz tega preberete nekaj dobrih stvari.

Dejstvo ni le, da lahko Google skoraj v trenutku potisne en sam popravek zero-day, ampak tudi, da so ljudje to pripravljeni sprejeti in celo zahtevati.

Zato mi je všeč, da se tista težava: »Vau, devet dni nič v letu popravi posamično!« ...

… O tem rad razmišljam bolj kot o "kozarcu, ki je napol napolnjen in se polni" kot "kozarec, ki je napol prazen in odteka skozi majhno luknjo na dnu". [SMEH]

To je moje mnenje.

---

DOUG.  V redu, zelo dobro.

Hvala za vprašanje, Cassandra.

Če imate zanimivo zgodbo, komentar ali vprašanje, ki bi ga radi poslali, ga bomo z veseljem prebrali v podcastu.

Lahko pošljete e-poštno sporočilo na tips@sophos.com, lahko komentirate katerega koli od naših člankov ali pa nas kontaktirate na socialnem omrežju: @NakedSecurity.

To je naša današnja predstava; najlepša hvala za posluh.

For Paul Ducklin, I’m Doug Aamoth, reminding you: Until next time…

---

OBOJE.  Bodite varni!

[GLASBENI MODEM]