#googleisevil

CLOUDFLARE IS EVIL De URL in de phishingmails die ik ontving voor de DHL phishingsite die ik in mijn vorige toot beschreef, stuurt mijn browser via respectievelijk: https:⧸⧸track.pstmrk.it (achter Amazon) https:⧸⧸13his.atoms.world Die laatste zit (samen met een heel stel broertjes en zusjes) ook achter Cloudflare en zij gebruiken een certificaat van "Google Trust Services". Edit: meer info in https://security.nl/posting/931203 #CloudflareIsEvil #CloudflareBulletProofHosting #CloudflareIsCrimineel #Cloudflare #AmazonIsEvil #BigTechIsEvil #GoogleIsEvil #LetsEncryptIsEvil #GoogleTrustServices #GoogleTrustServicesIsEvil #LetsEncrypt

GOOGLE+CLOUDFLARE ARE EVIL / MALAFIDE ELEKTRICIENS Gisteravond op TV bij Radar o.a. "Malafide elektriciens": https://radar.avrotros.nl/artikel/uitzending-radar-6-april-ticketprijzen-wk-voetbal-malafide-elektriciens-en-tatoeages-weglaseren-62538 Vanochtend: "Politie noemt oplichting door elektriciens via Google Ads 'georganiseerde misdaad’": https://www.security.nl/posting/931355/Politie+noemt+oplichting+door+elektriciens+via+Google+Ads+%27georganiseerde+misdaad%E2%80%99 Met een kort onderzoekje vond ik van één van de partijen die het niet zo nauw neemt met de regels voor eerlijk zakendoen, en schreef daarover in https://www.security.nl/posting/931363 - helaas is die reactie ondertussen verwijderd door een moderator. Een snapshot vindt u echter in https://archive.is/6HI4J (ik had een voorgevoel). Hieronder vindt u een lijstje met betrokken domeinnamen (zie https://archive.is/6HI4J voor een meer uitgebreide toelichting). In aanvulling daarop schreef ik later op security.nl (daar heb ik geen snapshot meer van kunnen maken op archive.is): ❝ Overigens is dit niet de enige partij die agressief in Google ads verschijnt. Aanvulling: de voorpagina van https://elektricienvlaanderen.be wijkt af van de andere sites, maar bovenin (PDF) https://elektricienvlaanderen.be/wp-content/uploads/2022/02/algemene-voorwaarden-https___elektricienvlaanderen.be_.pdf staat: "Algemene voorwaarden Versie 1.2 [...] Louwmans Installatie Techniek B.V. KVK: 84966378 BTW: NL863443515B01 [...]" ❞ #GoogleIsEvil #CloudflareIsEvil #BigTechIsEvil #InfoSec #Fraude #Oplichting #GeorganiseerdeMisdaad #Politie #ACM #Elektricien #MalafideElektriciens

BIG TECH IS EVIL https://www.bleepingcomputer.com/news/security/fbi-americans-lost-a-record-21-billion-to-cybercrime-last-year/ #BigTechIsEvil #GoogleIsEvil #CloudflareIsEvil

AMAZON IS EVIL Gebruikmakend van mijn browser vanaf mijn (Nederlandse) IP-adres wijzen alle links in de screenshot linksonder, voor zover ik die gecheckt heb, naar een echte https://capitalone.com pagina. Maar voor mensen met een IP-adres in de VS kan dat anders zijn. Op dit moment beschouwen 17 van 94 virusscanners de nepsite als kwaadaardig Of de door u gebruikte virusscanner daarbij zit, is te zien in https://www.virustotal.com/gui/domain/d26hpdecvhwn5s.cloudfront.net (Google Safebrowsing, gebruikt door veel browsers, vindt het allemaal prima). De nepsite bestaat al sinds minstens 18 feb 2026 (bron: https://www.virustotal.com/gui/url/cb2fda5e0a5bb63752db141db4b85ee00d544d11e3900ed6c31ea8fa8706c9e4/details) Amazon is ook nog eens een door browsers vertrouwde certificaatuitgever - de slager keurt diens eigen rottende vlees. Een "pre-certificate" (nog niet ondertekend door andere certificaatuitgevers, maar met alle relevante gegevens aanwezig) van het certificaat dat mijn browser ontving, kunt u zien in https://crt.sh/?id=24621003947 https://www.amazontrust.com anonimiseert hiermee egenaren van websites volledig. Rechtsonder ziet u de echte https://capitalone.com website. Het certificaat daarvan kunt u bekijken in https://crt.sh/?id=24147672644 Mijn bron voor de nepsite: https://infosec.exchange/@urldna/116390206094879571 #AmazonIsEvil #BigTechIsEvil #GoogleIsEvil #GoogleSafeBrowsingSucks

CLOUDFLARE IS EVIL en GOOGLE IS EVIL Phishingmail zogenaamd van DHL. De link in de mail begint weer (*) met https:⧸⧸track.pstmrk.it/3s/ maar daarachter zit de werkelijke URL die begint met (zonder de https:⧸⧸ die ik ervóór heb gezet): https:⧸⧸del.2spot.me Met de juiste (lange) karakterreeks daarachter (maar ook zonder, zie ik zojuist) stuurt die link mijn browser door naar een lange URL die begint met: https:⧸⧸delivery.curtishop.com Als je niet de juiste (lange) URL gebruikt geeft die website een foutmelding (om virusscanners en blocklists voor de gek te houden). Het https website certificaat voor *.curtishop.nl is op 11 april verstrekt door "Google Trust Services" (zie https://crt.sh/?id=25581372582) (*) zie https://todon.nl/@ErikvanStraten/116351564508620956 #CloudflareIsEvil #GoogleIsEvil #BigTechIsEvil #GoogleTrustServicesIsEvil #DVcertsSuck #DVcertificatesAreEvil #LetsEncryptIsEvil

CLOUDFLARE EN GOOGLE ZIJN EVIL Als een website sprekend op https://play.google.com lijkt, maar de domeinnaam afwijkt, is het niet slim om apps van zo'n site te downloaden; het gaat dan hoogstwaarschijnlijk om kwaadaardige software. Het APK-bestand dat ik zojuist downloadde wordt door slechts 1 van 62 virusscanners als kwaadaardig herkend (aldus https://www.virustotal.com/gui/file/cef6bec583bd2d2372115c1627e78918b60900d2bd823c890bac4ce4be4194b2) Minstens elf subdomeinnamen van "googleplay-app.cc" verstoppen zich achter proxy-servers van Cloudflare (bron: RELATIONS tabblad van https://www.virustotal.com/gui/domain/googleplay-app.cc) - waarbij notabene een https website-certificaat van "Google Trust Services" wordt gebruikt. Genoemde hoofdomeinnaam samen met "*.googleplay-app.cc" krijgen al sinds 26 december 2023 certificaten van Google en van Let's Encrypt (bron: https://crt.sh/?q=googleplay-app.cc) Het kan Big Tech niks schelen als mensen hier intrappen - sterker, het is hun verdienmodel. #CloudflareIsEvil #GoogleIsEvil #LetsEncryptIsEvil #BigTechIsEvil #Cloudflare #Google #LetsEncrypt #BigTech #DV #DomainValidated #DVcertsSuck #DVcerts

HET WEB IS EEN MIJNENVELD Terwijl: https:⧸⧸mijn.benu-apotheek2026.com/index.php https:⧸⧸www.benu-apotheek2026.com nog steeds live zijn - zonder phishingwaarschuwing (zie https://todon.nl/@ErikvanStraten/116535469861220802 van 14 dagen geleden) kreeg ik afgelopen nacht een SMS die verwijst naar een andere nepsite: https:⧸⧸benu-online.net Als u op de getoonde pagina op "Nu bijwerken" klikt, opent een formulier waarin om heel veel persoonsgegevens wordt gevraagd, nl. naam, geslacht, geboortedatum, IBAN, e-mailadres, telefoonnummer en woonadres. Als u die gegevens invult, wordt u waarschijnlijk binnenkort gebeld door een bankhelpdeskfraudeur, of door "de politie" die doorgeeft dat er inbrekers in uw buurt actief zijn - en dat er daarom een agent langskomt om uw waardevolle bezittingen op te komen halen (inclusief uw bankpas en pincode). Op dezelfde server (d.w.z. het IP-adres, aldus het RELATIONS tabblad van https://www.virustotal.com/gui/ip-address/31.57.216.15) was ook de volgende nepsite actief (momenteel niet meer): https:⧸⧸mijnbenu.net Nb. ik vervang https:// steeds door https:⧸⧸ om onbedoeld openen te voorkomen. #InternetIsEenMijnenveld #Phishing #CloudflareIsEvil #BigTechIsEvil #GoogleIsEvil #LetsEncryptIsEvil #Cloudflare #Google #LetsEncrypt #BigTech #DV #DomainValidated #DVcertsSuck #DVcerts

CLOUDFLARE EN GOOGLE ZIJN EVIL Dat de goedkope (of zelfs gratis) domeinen van Cloudflare zelf, "workers.dev" en "pages.dev" door cybercriminelen worden misbruikt, speelt al jaren (zie bijv. https://www.fortra.com/blog/cloudflares-pagesdev-and-workersdev-domains-increasingly-abused-phishing van eind 2024). Volgens https://dailysecurityreview.com/security-spotlight/cloudflare-cyber-attacks-surge-developer-domains-exploited-for-phishing-and-ddos/ (van eerder deze maand) zou het misbruik sterk zijn toegenomen. Voorbeeld, voor de nietszeggende (random gegenereerde) hoofddomeinnaam van vermoedelijk een cybercrimineel:: 🚨 gfiwpu3459btgoeiprubnvoey458r․workers․dev kent VirusTotal 140 subdomeinen (met random subdomeinnamen). De domeinmaam van de oudste, van sept. 2025 (niet meer actief), luidt: 🚨 yvvper89․gfiwpu3459btgoeiprubnvoey458r․workers․dev en de laatste, als enige momenteel actief: 🚨 89615d80․gfiwpu3459btgoeiprubnvoey458r․workers․dev Google Trust Services heeft voor deze nepsites, sinds 2025-09-02, minstens 4 certificaten afgegeven (elk cert is geldig voor de hoofddomeinnaam en via *. voor elk willekeurig subdomein). Cloudflare zou simpel kunnen detecteren dat een nep-Microsoft-inlogpagina wordt getoond, en hun klant een schop onder de kont te geven - maar dat levert Cloudflare minder inkomsten op. #CloudflareIsEvil #GoogleIsEvil #Phishing #BigTechIsEvil #NepSites #NepWebSites #GoogleTrustServicesIsEvil #GoogleTrustServices #Cloudflare #workers_dev #pages_dev

CLOUDFLARE IS EVIL Zoek de verschillen: beide phishing-sites verstoppen zich achter Cloudflare (beide screenshots zijn van 16:24 zojuist). Informatie op de nep-pagina's wordt automatisch ververst. Eén daarvan zag ik al eerder (https://todon.nl/@ErikvanStraten/116805675476615458 - daar met aanvullende details). De site linksonder (feitelijk de Cloudflare proxy server voor die site) heeft een gratis certificaat van Let's Encrypt, de rechter van "Google Trust Services". #Phishing #PakketScams #PostScams #PostPakketScams #CloudflareIsEvil #GoogleIsEvil #LetsEncryptIsEvil #BigTechIsEvil #InternetIsEenMijnenveld

@nixCraft@mastodon.social Reminded of the disgusting poster from the 70s: "Eat shit. 5,000,000,000 flys can't be wrong." #GoogleIsEvil #Google