CLOUDFLARE IS EVIL

Ook de volgende twee websites, waarvan ik 3 dagen geleden schreef (https://todon.nl/@ErikvanStraten/116323126760276917) dat ze uit de lucht gehaald leken, zijn weer live (zie onderstaande zojuist gemaakte screenshots):

https:⧸⧸bunq.stakebet.live (IPv4: 216.203.20.170)
https:⧸⧸bunq.diaojj.com (achter Cloudflare)

nu ook live, maar (nog?) met een bunq pagina:

https:⧸⧸knab.diaojj.com (nieuw, ook achter Cloudflare)

Op die laatste twee links checkt een Cloudflare bot of u een mens bent alvorens u door te verbinden met de feitelijke server.

De eerste twee phishing websites beschreef ik op 22 maart in https://todon.nl/@ErikvanStraten/116274355987240779.

Druk op een plaatje om te vergroten.

#CloudflareIsEvil #Phishing #CyberCrime #bunq #bunqPhising #knab #knabPhishing #Odido #OdidoDataLek

CLOUDFLARE IS EVIL

De volgende ICS phishing website (zich verstoppend achter Cloudflare) is nog steeds live (zie screenshot):

https:⧸⧸lcs.1419.info

Welke websites op dit moment naar die phishingsite doorsturen heb ik nog niet kunnen vinden. Eerder waren dat de volgende "doorstuursites" bij Herzner (te zien in het RELATIONS tabblad van https://www.virustotal.com/gui/ip-address/46.225.225.20), maar deze lijken nu allemaal "uit de lucht" te zijn gehaald:

https:⧸⧸[www.]dynamic-1001.com
https:⧸⧸[www.]ephemeralgarbage.com
https:⧸⧸[www.]timsauctionservice.com
https:⧸⧸[www.]paramountwebsales.com
https:⧸⧸[www.]iserve.co.uk
https:⧸⧸[www.]eldiabaptismoglobal.net
https:⧸⧸[www.]insuranceopedia.ca
https:⧸⧸[www.]spartancu.com
https:⧸⧸[www.]wallstreetedge.com

Nb. ik heb "https:⧸⧸" i.p.v. "https://" gebruikt om onbedoeld openen door u te voorkómen. Met "[www.] voorafgaand aan de domeinnaam bedoel ik dat ook die variant eerder ook doorstuurde naar de phishingsite.

Scammers gebruiken meerdere en steeds nieuwe doorstuursites om te voorkómen dat spamfilters hun phishing-e-mails blokkeren.

#CloudflareIsEvil #Phishing #CyberCrime #ICS #ICSphising #Odido #OdidoDataLek

CLOUDFLARE IS EVIL

De volgende websites sturen uw browser op dit moment door naar de volgende Bitvavo phishingsite (zoals zovele nepsites, verstopt ook deze zich achter Cloudflare):

https:⧸⧸digitaalformulier.im/two.html (zie screenshot)

Al die doorstuursites zijn te zien in het RELATIONS tabblad van https://www.virustotal.com/gui/ip-address/185.68.93.129.

https:⧸⧸[www.]ramey-photography.com
https:⧸⧸[www.]therapeutix.com
https:⧸⧸[www.]bidonalbany.com
https:⧸⧸[www.]kkbrocks.com
https:⧸⧸[www.]bidonmacon.com
https:⧸⧸[www.]cheqpaq.com
https:⧸⧸[www.]isimgt.com
https:⧸⧸[www.]247.co.il
https:⧸⧸[www.]cbc-restaurant-corp.com
https:⧸⧸[www.]islandnight.org

Nb. ik heb "https:⧸⧸" i.p.v. "https://" gebruikt om onbedoeld openen door u te voorkómen. Met "[www.] voorafgaand aan de domeinnaam bedoel ik dat ook die variant doorstuurt naar de Bitvavo phishingsite.

Scammers gebruiken meerdere en steeds nieuwe doorstuursites om te voorkómen dat spamfilters hun phishinge-mails blokkeren.

#CloudflareIsEvil #Phishing #CyberCrime #Bitvavo #BitvavoPhising #Odido #OdidoDataLek

CLOUDFLARE IS EVIL

De volgende websites sturen uw browser op dit moment door naar de volgende KvK phishingsite (zoals zovele nepsites, achter Cloudflare):

https:⧸⧸digitaalformulier.im/html1.html (zie screenshot)

Al die doorstuursites zijn te zien in het RELATIONS tabblad van https://www.virustotal.com/gui/ip-address/190.123.46.57, met uitzondering van de site waar ik een IP-adres achter gezet, die is te vinden in het RELATIONS tabblad van https://www.virustotal.com/gui/ip-address/209.50.247.67.

https:⧸⧸[www.]fqhospitality.com (nieuw)
https:⧸⧸[www.]rackdata.com
https:⧸⧸ns1.rackdata.com (209.50.247.67)
https:⧸⧸ns2.rackdata.com
https:⧸⧸[www.]nflhouse2013.com
https:⧸⧸[www.]betbigcity.net
https:⧸⧸[www.]drharrington.net
https:⧸⧸[www.]winebidinternational.com
https:⧸⧸[www.]spectrumwi.net
https:⧸⧸[www.]retirementheadquarters.info
https:⧸⧸[www.]fmcontacts.net
https:⧸⧸[www.]omgfr.com

Nb. ik heb "https:⧸⧸" i.p.v. "https://" gebruikt om onbedoeld openen door u te voorkómen. Met "[www.] voorafgaand aan de domeinnaam bedoel ik dat ook die variant doorstuurt naar de KvK phishingsite.

Scammers gebruiken meerdere en steeds nieuwe doorstuursites om te voorkómen dat spamfilters hun phishinge-mails blokkeren.

#CloudflareIsEvil #Phishing #CyberCrime #KvK #KvKphising #Odido #OdidoDataLek

Nog zeven phishing-websites die niet geblokkeerd worden door Cloudflare (met screenshots van de eerste vier, de rest zijn ook Cloudflare time-out pagina's):

https:⧸⧸digitaalformulier.4417.info (sinds minstens 12 maart)
https:⧸⧸ing.stakebet.live
https:⧸⧸abnamro.stakebet.live
https:⧸⧸rabobank.stakebet.live
https:⧸⧸triodos.stakebet.live
https:⧸⧸asn.stakebet.live
https:⧸⧸n26.stakebet.live

Mogelijk zijn de phishermen overgestapt op een andere domeinnaam dan "stakebet punt live" die ik (nog) niet ken, met subdomeinen die waarschijnlijk ook achter bullet proof hoster Cloudflare zitten.

Druk op een plaatje om te vergroten.

#CloudflareIsEvil #Phishing #CloudflareBulletProofHosting #ING #INGphishing #ABNAmro #ABNAmroPhishing #Rabobank #RabobankPhishing #Triodos #TriodosPhishing #ASN #ASNbank #ASNphishing #ASNbankPhishing #N26 #N26phishing

PHISHING - update 1/2

De volgende sites waren gisteravond nog live maar nu niet meer:

https:⧸⧸bunq.stakebet.live (IPv4: 216.203.20.170)
https:⧸⧸bunq.diaojj.com (achter Cloudflare)

Die laatste link laat Cloudflare testen of U wel betrouwbaar bent en meldt daarna een time-out met de feitelijke server.

Dezelfde groep cybercriminelen zit kennelijk nog niet achter de tralies, de volgende phishingsites waren zojuist nog live, op de volgende na - die nog niet of niet meer live is:

https:⧸⧸knab.stakebet.live (dit subdomein achter Cloudflare)

In de volgende toot screenshots met domeinnamen van "doorstuursites".

P.S. druk op een plaatje om te vergroten.

#Phishing #Odido #OdidoDataLek #knab #bunq #KvK #BitVavo #knabPhishing #bunqPhishing #KvKPhishing #BitVavoPhishing #Cloudflare #CloudflareIsEvil #CloudflareIsCrimineel

Op de Russische server die ik in de toot hierboven noemde, zijn bijgekomen:

https:⧸⧸ramey-photography.com (detectie: 6/94)
https:⧸⧸www.ramey-photography.com (detectie: 5/94)

Zie het RELATIONS tabblad van https://www.virustotal.com/gui/ip-address/185.68.93.129.

Beide websites sturen door naar:

https:⧸⧸digitaalformulier.im/html1.html

vanzelfsprekend weer achter Cloudflare (zie het RELATIONS tabblad van https://virustotal.com/gui/ip-address/104.21.31.44).

Druk op een plaatje om te vergroten.

#Phishing #KvK #KvKPhishing #CloudflareIsEvil #CloudflareIsCrimineel #CloudflareBulletProofHosting #InfoSec #CyberCrime

Interessant, de volgende nepsite toont nu een KNAB QR-code (de link in de QR-code begint met "knab-app://qr-login?login_token=<lange_reeks>"):

https:⧸⧸bunq.stakebet.live (IPv4: 216.203.20.170)

zie onderstaande screenshot.

De volgende nepwebsite:

https:⧸⧸bunq.diaojj.com (achter Cloudflare)

is nog live, maar als ik mijn echte telefoonnummer gevolgd door een verzonnen 6-cijferige bunq-app code invoer, blijft er een cirkeltje draaien. Mogelijk ben ik geblacklist, dus ik weet niet of dit voor iedereen geldt.

Denkbaar is dat criminelen een nieuwe scam aan het voorbereiden zijn en er binnenkort nepsites verschijnen met domeinnamen die met "knab." beginnen.

Zie de tweede reactie in deze draad voor hoe deze sites afgelopen zondag werkten.

#CloudFlareIsEvil #Phishing #bunq #knab #InfoSec

🧵3

Ten slotte een screenshot van de feitelijke phishingsite, gemaakt op mijn iPhone.

Eerder beschreef ik deze phishingsite al uitgebreid in https://todon.nl/@ErikvanStraten/116216004495882854.

Als, na veel aandringen, Cloudflare al IETS doet tegen cybercrime, is dat een phishing (of malware) waarschuwing tonen voor een volledige URL, *niet* voor de domeinnaan in kwestie. Daardoor hoeven criminelen niet eens een nieuwe domeinnaam te regelen (ook weinig moeite, maar toch iets meer), zoals ik in https://todon.nl/@ErikvanStraten/116304008307652971 liet zien.

#CloudflareIsEvil