Voor de techneuten onder ons:

https://www.virustotal.com/gui/url/23d5ed9c2a51a191d2bbd7f397b997fc896ab21cbfd7048a6c9cdbe7c2146a9a/details

https://www.virustotal.com/gui/url/cb2f4278ecac3d03cb68187edd5643b25db7fe51e4a3fd9267c3ed82677eea22/details

Hierin is te zien dat de sites achter de links (in de phishingmails die ik ontving) doorsturen naar dezelfde phishingsite.

Criminelen gebruiken dit soort "wegwerpsites" in hun phishingmails om detectie door spamfilters te bemoeilijken.

Het is véél te eenvoudig én goedkoop om anoniem websites in de lucht te slingeren - #InternetIsZiek

En een derde phishingmail (op mijn andere door Odido gelekte e-mailadres, deze zat in de spambox) met link naar:

https:⧸⧸betbigcity.net/ggr7j

Ook deze stuurt de browser door naar:

https:⧸⧸digitaalformulier.5178.info

Hieronder een screenshot van het RELATIONS tabblad van https://www.virustotal.com/gui/ip-address/190.123.46.57.

Zie de ALT TXT van het plaatje voor meer info.

#InternetIsZiek #BigTechIsEvil #CloudflareIsEvil #Odido #Datalek #OdidoDatalek #OdidoIsEvil

Ze zijn een piepklein beetje wakker bij Cloudflare...

Voor https:⧸⧸digitaalformulier.5178.info krijg je nu een phishing waarschuwing, maar niet voor:

https:⧸⧸digitaalformulier.5178.info/index.html

Dus als de criminelen de link aanvullen met een random identifier waarschuwt Cloudflare niet.

Tevens lijkt het erop dat de verbinding tussen de Cloudflare proxy-server en de *feitelijke* webserver géén https gebruikt, maar http (poort 80).

Ook https:⧸⧸digitaalformulier.4417.info is nog gewoon live.

#CloudflareIsEvil #BigTechIsEvil

CLOUDFLARE IS EVIL

Op dezelfde "Panamaserver" als ik eerder noemde (zie het RELATIONS tabblad in https://www.virustotal.com/gui/ip-address/190.123.46.57), is nu ook een website met de volgende domeinnaam te vinden:

rackdata.com

Als ik die site (zonder aanvulling in de link) open, wordt mijn browser doorgestuurd naar:

digitaalformulier.4417.info

Zodra dat gebeurt stuurt die site mijn browser door naar een "subpagina" (achter de domeinnaam verschijnt "/id/" gevolgd door een lang hexadecimaal getal).

Nb. het gaat hier om dezelfde nepsite achter Cloudflare die ik ÉÉN WEEK GELEDEN, op 12 maart, beschreef (in https://todon.nl/@ErikvanStraten/116216004495882854). Die is dus nog steeds live.

En detectie nog steeds door slechts 2 van 94 virusscanners (Chong Lua Dao en Webroot, zie https://www.virustotal.com/gui/url/f3b20ec6fad0353aef64a202698e46bffc05c7c3680ae81427c87d044d2b33aa).

TECHNISCHE DETAILS

Als ik de bovenste site door VirusTotal laat analyseren wordt de testende instance (van VirusTotal) doorgestuurd naar de een of andere flutsite (zie de DETAILS tab in https://www.virustotal.com/gui/url/23f6e89cad0bbe637ea309818a8a634cb6b1e5fc2e5e1a08b8e67e42e6c51085/details).

Als ik daarentegen een / en willekeurig 5 letters/cijfers achter de domeinnaam plak:

rackdata.com/1d5ud

wordt de testende instance wél naar de phishingsite doorgestuurd, zie de DETAILS tab in https://www.virustotal.com/gui/url/f0b4b835cdaf171b7d38351767ec65035c402bb7cd49588e983ddb48baa05dfc/details.

#CloudflareIsEvil #BigTechIsEvil #LetsEncryptIsEvil #LetsEncrypt #GoogleIsEvil

CLOUDFLARE IS EVIL

Vanochtend ontving ik een nieuwe phishingmail met daarin de volgende link:

https:⧸⧸paramountwebsales.com/xiq5n

Als ik die site open, wordt mijn browser weer doorgestuurd naar de volgende phishingwebsite (die al meer dan 1 week live is);

https:⧸⧸digitaalformulier.4417.info

Kennelijk hebben de betrokken criminelen een nieuwe "doorstuur" server gehuurd, nu bij Hetzner, zie het RELATIONS tabblad in https://www.virustotal.com/gui/ip-address/46.225.225.20.

Alle websites met onderstaande domeinnamen in de gele rechthoek (als ik daar "/xxxxx" achter zet, waarbij elke x een willekeurige letter of cijfer is) sturen door naar https:⧸⧸digitaalformulier.4417.info.

#Phishing #CloudflareIsEvil #BigTechIsEvil #LetsEncryptIsEvil #LetsEncrypt #GoogleIsEvil