CLOUDFLARE IS EVIL

De phishingsite, waar ik op 12 maart over schreef (https://todon.nl/@ErikvanStraten/116216004495882854), is nog steeds live.

Die site wordt nu door 2 van 94 virusscanners als kwaadaardig gezien, namelijk door "Chong Lua Dao" en "Webroot": https://www.virustotal.com/gui/domain/digitaalformulier.4417.info

De site wordt "gehost" (feitelijk geproxied) door Cloudflare sinds 3 maart via de IPv4-adressen 104.21.89.55 en 172.67.188.36 (naast twee IPv6 adressen).

En die site gebruikt een Let's Encrypt https server certificaat dat nog niet is ingetrokken - maar beschikt ook over een nog geldig certificaat van Sectigo (zie https://crt.sh/?Identity=4417.info&deduplicate=Y).

#CloudflareIsEvil #LetsEncryptIsEvil #SectigoIsEvil #BigTechIsEvil #GoogleIsEvil #AmazonIsEvil #MicrosoftIsEvil

@bert_hubert voetnoot 4 uit de PDF in https://open.overheid.nl/details/36acf7a6-1ea3-401e-86ad-45119baf05fb:

For the purpose of this memorandum, we assume that the Nitro System technically works as contractually committed by AWS. A technical investigation is out of scope of this memorandum.

Als gegevens client-side worden versleuteld vóór upload en ontsleuteld na download heb je een hele dure *domme* versleutelde disk op afstand. Je kunt dan niet allerlei slimme bewerkingen (en zoekopdrachten) uitvoeren zonder data te downloaden. Dit heeft dan ook niets meer met SAAS en andere gebruikelijke clouddiensten te maken.

Het alternatief is dat (ook) AWS een sleutel heeft, maar dan is het game over voor NL zodra AWS een FISA Section 702 (o.i.d.) gag order ontvangt (met een zwijgplicht instructie erbij).

In het eerste geval kan AWS of een drie-letter overheidsdienst betrokken ambtenaren (bijv. middels social engineering of omkoping) overhalen om de sleutel af te staan.

Geef ze niet onze data, ook niet versleuteld. Doe je dat wel dan hebben zij "the cards". Behandel de VS alsof het ransomware-criminelen zijn.

Dealen met de US big tech lobby is vechten tegen de bierkaai...

#UScloudAct #USAcloudAct #AmazonIsEvil #BigTechIsEvil #USisEvil #USAisEvil #DigiD #BTW #Defensie

@wouterkobes : dan kan ik aan de gang blijven en dat helpt niks: áls websites al worden down gehaald duurt dat veel te lang en er verschijnen steeds weer nieuwe. Zie ook https://security.nl/posting/928043.

Ik heb allerlei voorstellen geschreven hoe we internet weer veiliger zouden kunnen krijgen, maar dat kost Big Tech inkomsten. Zij hebben het internet *bewust* onveilig gemaakt.

#BigTechIsEvil

Phishing na Odido datalek 🧵1 (draadje)

Vanochtend kreeg ik een phishingmail in mijn inbox (niet de spambox). Sinds Odido mijn e-mailadres gelekt heeft, ontvang ik bijna elke dag één of meer phishing-mails.

In die mail (foto verderop in deze draad) staat:

beste heer/mevrouw,

er staat een ongelezen bericht in uw
persoonlijke berichtenbox van mijnoverheid.

Hoogachtend,
Klantenservice

Onder " persoonlijke berichtenbox" zat een link. Als ik daarop druk, opent de webbrowser en verschijnt een pagina waar u hieronder een screenshot (schermopname) van ziet.

Alles wat u ziet is nep of onbelangrijk, behalve de domeinnaam (websitenaam of webadres):

digitaalformulier.4417.info (niet zelf openen!)

Het "Top Level Domain" hier, "info", wordt (hopelijk) nooit gebruikt door de Nederlandse overheid - en zeker niet voor "Mijn Berichtenbox" (wel: nl).

De hoofddomeinnaam, "4417.info" is dus niet van de overheid. Het subdomein "digitaalformulier.4417.info" dus ook niet!

Nb. in veel browsers zit de adresbalk onderin, ik heb het zelf zo ingesteld dat deze bovenin zit (de domeinnaam is het éérste dat ik wil zien).

#Odido #Datalek #Phishing #BigTechIsEvil #CloudflareIsEvil #GoogleIsEvil #LetsEncryptIsEvil #DVcertsAreEvil #DVcertsAreWorthless #DVcertsArePointless #DVcerts

Excellent!

Big Tech *DELIBERATELY* made it impossible for most people to distinguish between real and fake websites - because of greed (renting more domain names and low budget hosting to anonymous cybercriminals).

Also from the article (https://www.bleepingcomputer.com/news/legal/eu-court-adviser-says-banks-must-immediately-refund-phishing-victims/):

"The case involved phishing fraud, where the customer advertised an item for sale on an auction platform, and was approached by a fraudster who sent them a malicious link to a page resembling the bank’s login interface.

The customer entered their bank account credentials on that site, which the fraudster then used to execute an unauthorized payment."

#BigTechIsEvil #GoogleIsEvil #Phishing #Fraud #OnlineBanking

@pascaline : domeinnaamspeculatie is een gigantische, onfrisse en deels ronduit criminele industrie.

Het lijkt er zelfs sterk op dat sommige domeinnaamboeren op de gok domeinnamen registreren om ze met winst te kunnen "verkopen" (feitelijk verhuren).

Bovendien worden voor phishing misbruikte domeinnamen door die boeren "witgewassen" (zorgen dat ze van zwarte lijsten verdwijnen, o.a. gebruikt door virusscanners). Soms worden onzinnige subdomeinnamen geregistreerd (zie https://www.security.nl/posting/781057) waar niet-kwaadaardige content op wordt gezet.

Bovendien interesseert het de meeste domeinnaamboeren niet of zij domeinnamen aan nette mensen of aan (anonieme) cybercriminelen verkopen.

Vorig jaar schreef ik (in https://todon.nl/@ErikvanStraten/115323922859027525 en vanaf https://www.security.nl/posting/907704) over de nepwebsite

mijn-kpn․info

die heel lang actief is gebleven. Ook in 2021 was die site actief.

Ondertussen is deze ondergebracht bij een domeinnaamparkeerder (zie de screenshot). Zodra deze domeinnaam is witgewassen, zal deze vast weer worden ingezet voor phishing.

N.b. pagina's zoals hieronder kunnen naar nepsites verwijzen en/of je proberen te verleiden om kwaadaardige software te installeren.

@StellaQuasten

#Phishing #DomeinNaamSpeculatie #BigTechIsEvil #InternetIsZiek #DomeinNamen #DomeinNaam

Phishing herkennen (draadje met screenshots)

Eind van de middag ontving ik een phishing e-mail met als afzender:

🔹Mijn Belastingdienst <info@dividendsgrowth.com>

Vooral e-mailprogramma's op smartphones laten slechts "Mijn Belastingdienst" zien. Check altijd het werkelijke afzenderadres!

Het onderwerp van de e-mail luidde:

🔹Aangifte Inkomstenbelasting 2026 - Noodzakelijke Aanvulling

In de lange mail zat een blauwe knop "Verbind hier veilig uw gegevens". De link "onder" die knop luidde:

🔹https://storage.googleapis.com/ - gevolgd door een lange reeks cijfers en letters.

Dat is duidelijk géén link naar een pagina van https://belastingdienst.nl.

Toen ik die volledige link opende verscheen kortstondig een pagina met een draaiende groene cirkel, waarna onderstaande pagina opende. Merk op dat de domeinnaam (website-naam):

🔹inloggen-mijn-dienst․com

niet hetzelfde is als exact "belastingdienst.nl" (of een subdomein daarvan, zoals "mijn.belastingdienst.nl"). Laat u niet foppen!

#Phishing #Belastingdienst #BigTechIsEvil

The internet is being destroyed by capitalist big tech.

The Norwegian Consumer Council has delved into enshittification and claims to have found ways how to resist it: https://www.forbrukerradet.no/breakingfree/.

Source (Dutch): https://www.security.nl/posting/926549/Organisaties+slaan+groot+alarm+over+enshittification%3A+%27het+internet+is+stervende%27.

#BigTechIsEvil #GoogleIsEvil #CloudflareIsEvil

@Vanstra : zoals ik schreef in https://todon.nl/@ErikvanStraten/116143338568691582 moeten we stoppen met de pappen-en-nathouden mentaliteit.

Ofwel losgeld betalen verbieden (op straffe van faillissement bij ontdekking, wat ertoe zal leiden dat afpersers kunnen blijven afpersen), ofwel zeer zware boetes na onnodig grote datalekken - of beide.

Daarnaaast internet veiliger maken. Lastig, want Big Tech wil dat niet.

#DataLekken #Aanpak #BigTechIsEvil

@burne

@Matthijs85 : en met mijn NoScript instellingen krijg ik het onderstaande te zien na het invoeren van mijn (door Odido gelekte) e-mailadres.

Het is alsof je je moet uitkleden om te kunnen internetten.

#InternetSucks #BigTechIsEvil #CloudflareIsEvil #USisEvil #USAisEvil

Malicious 7-Zip site distributes installer laced with proxy tool
https://www.bleepingcomputer.com/news/security/malicious-7-zip-site-distributes-installer-laced-with-proxy-tool/

Website "hosted" (actually proxied) by Cloudflare: https://www.virustotal.com/gui/url/868c7366b70827263b604e24a1b6a4d6ad6da605192caf216306a0187b0f2be8/details

Latest website certificate provided by "Google Trust Services": see https://crt.sh/?id=23961794049

#CloudflareIsEvil #GoogleIsEvil #BigTechIsEvil

@spamhaus : made possible by Cloudflare and Google

#CloudflareIsEvil #GoogleIsEvil #BigTechIsEvil

@urldna : big tech cares shit

https://crt.sh/?q=roblox.com.ml

#BigTechIsEvil #LetsEncryptIsEvil #GoogleIsEvil #SectigoIsEvil #DVcerts #DVcertsAreEvil

@urldna : internet has become a lawless minefield

https://www.virustotal.com/gui/ip-address/179.43.188.90/relations

#CyberCrime #BigTechIsEvil

@joern

https://blog.sicuranext.com/68-of-phishing-websites-are-protected-by-cloudflare/

#CloudflareIsEvil #GoogleIsEvil #BigTechIsEvil

@chazh : one of the partners in crime. Lots of DV certificates for Cloudflare proxies are issued by "Google Trust Services".

https://infosec.exchange/@_r_netsec/115657165127445472

@cendyne @soatok

#BigTechIsEvil #CloudflareIsEvil #GoogleIsEvil

@chazh :

100% security is impossible. But it's bad and it's getting worse.

Fix:

1️⃣ Immediately after setting up an https connection (before downloading content), EVERY browser should warn people if they've never visited the site (exact domain name) before, if ownership of the domain name changed or upon any other risky anomaly.

2️⃣ The warning should include as much as possible information about:
• the current owner of the domain name;
• if such info is available, the *reliability* of that info.

3️⃣ Depending on said info, the user is informed about the risks they take when deciding to "trust" the website and opening it (thereby adding it to their "visited before" list).

4️⃣ User education is very important, at the very least browsers should provide easy to understand tutorials.

5️⃣ The current (corrupt) CAB/forum needs to be replaced by an organizations with end-user participation.

Google in particular does not want that. They don't want internet users to be able to easily distinguish between authentic and junk websites. Scamsites are part of their business model.

@cendyne @soatok

#BigTechIsEvil #GoogleIsEvil #CloudflareIsEvil

@chazh
> "You’re very angry that passkeys don’t close HTTPS cert-shaped holes. But neither do password managers or anything else in a browser."

No. Instead, I'm very angry that big tech makes the internet less secure every day while first telling people to use 2FA to fix that (which was a lie) and now telling people to use passkeys to fix that (which is a lie).

Because people's accounts will keep getting compromised and/or they'll keep getting locked out of their accounts. It's one big hoax.

@cendyne @soatok

#BigTechIsEvil #GoogleIsEvil #LetsEncryptIsEvil #CloudflareIsEvil #AmazonIsEvil #MicrosoftIsEvil #AppleIsEvil

@cendyne : https certs are in the chain of trust.

If they are issued to the wrong sites, passkeys fail.

Note that I will NOT login to my bank (using a passkey or whatever) if it suddenly has a junk LE DV cert (soon valid for 45 days without OCSP), because I expect a decent certificate.

Why don't passkeys enforce AT LEAST an OV (Organization Validated) certificate?

@soatok

#BigTechisEvil #LetsEncryptIsEvil #GoogleIsEvil

R.I.P. Windows

#RIPwindows #RIPmicrosoft #BigTechIsEvil