#nepwebsites — Public Fediverse posts

Waarschuwing voor "Browser in the Browser" aanvallen

Bij een BitB-aanval toont een nepwebsite een nep pop-up-venster dat eruit ziet als een (deels of geheel) nieuw browser-venster. Gesuggereerd wordt dat u uw inloggegevens moet invoeren op bijvoorbeeld:

https:⧸⧸accounts.google.com/signin/v3/

maar dat is allemaal fake: door u ingevoerde nloggegevens vallen zo in handen van de eigenaar van de onderliggende website, die daarmee als u kan inloggen en uw account kan kapen.

Mijn bron: https://www.bleepingcomputer.com/news/security/phishing-poses-as-big-brand-job-interview-to-steal-google-accounts/

Onderin https://gist.github.com/BushidoUK/57c38d5ee75481fb237e968a537de778 ziet u een lijst van criminele domeinnamen waar deze techniek op werd of nog wordt toegepast.

De hieronder getoonde website is gehost bij Amazon (zie het RELATIONS tabblad van https://www.virustotal.com/gui/domain/marriott-hiring.com). Als u zou openen (dat raad ik af):

https:⧸⧸marriott-hiring․com

moet u eerst een vinkje zetten, zogenaand om te bevestigen dat u een mens bent. Daarna verschijnt het beeld dat linksonder te zien is.

De feitelijke BitB-aanval ziet u in het 2e plaatje (meer info onder ALT).

Nb. met een passkey is deze aanval niet mogelijk omdat de domeinnaam niet klopt. Zwakke 2FA (SMS, TOTP of Number Matching) voorkómt *niet* dat u slachtoffer wordt.

#AmazonIsEvil #BigTechIsEvil #LetsEncryptIsEvil #BitB #Phishing #NepWebSites #ATO #AccountTakeOver #AitM #MitM

CLOUDFLARE EN GOOGLE ZIJN EVIL

Dat de goedkope (of zelfs gratis) domeinen van Cloudflare zelf, "workers.dev" en "pages.dev" door cybercriminelen worden misbruikt, speelt al jaren (zie bijv. https://www.fortra.com/blog/cloudflares-pagesdev-and-workersdev-domains-increasingly-abused-phishing van eind 2024).

Volgens https://dailysecurityreview.com/security-spotlight/cloudflare-cyber-attacks-surge-developer-domains-exploited-for-phishing-and-ddos/ (van eerder deze maand) zou het misbruik sterk zijn toegenomen.

Voorbeeld, voor de nietszeggende (random gegenereerde) hoofddomeinnaam van vermoedelijk een cybercrimineel::

🚨 gfiwpu3459btgoeiprubnvoey458r․workers․dev

kent VirusTotal 140 subdomeinen (met random subdomeinnamen).

De domeinmaam van de oudste, van sept. 2025 (niet meer actief), luidt:

🚨 yvvper89․gfiwpu3459btgoeiprubnvoey458r․workers․dev

en de laatste, als enige momenteel actief:

🚨 89615d80․gfiwpu3459btgoeiprubnvoey458r․workers․dev

Google Trust Services heeft voor deze nepsites, sinds 2025-09-02, minstens 4 certificaten afgegeven (elk cert is geldig voor de hoofddomeinnaam en via *. voor elk willekeurig subdomein).

Cloudflare zou simpel kunnen detecteren dat een nep-Microsoft-inlogpagina wordt getoond, en hun klant een schop onder de kont te geven - maar dat levert Cloudflare minder inkomsten op.

#CloudflareIsEvil #GoogleIsEvil #Phishing #BigTechIsEvil #NepSites #NepWebSites #GoogleTrustServicesIsEvil #GoogleTrustServices #Cloudflare #workers_dev #pages_dev