Door Anoniem @08:43: Super Erik, wederom dank voor een mooie en leerzame post!!
Graag gedaan!
Door Anoniem @10:06: Erik, waarom gebruik je op jouw Adroid de Privacy Friendly QR Scanner? Zoals ik het begrijp geeft deze scanner alleen een advies door de url duidelijk te laten zien, [...]
Niet echt advies, maar de app laat wel de URL, of andere in de QR/barcode opgenomen informatie, zien.
Dat vind ik veel prettiger dan een browser die meteen zo'n link opent. Steeds vaker is dat een link naar een third-party (spionage -) site die jouw browser doorstuurt, en regelmatig kom ik http:// links tegen. Als security-onderzoeker wil ik dit zien, maar ook voor "security-aware" mensen lijkt mij dit zinvolle informatie.
Na het scannen van een URL zie je in deze app onder meer:
[ ] I checked the link and want to visit the website.
Information [3] on how to check links.
[3]
https://secuso.aifb.kit.edu/downloads/Flyer/NoPhish_betr.Nachrichten/Englisch/KIT_Faltblatt_BN_EN_2022v03.pdfDie PDF bevat (verderop, je moet even doorscrollen) zinvolle info over hoe domeinnamen zijn opgebouwd en waar je op moet letten.
Overigens kan deze app ook zelf QR-codes maken.
Door Anoniem @10:06: maar kan deze scanner niet verbinden met een anti-malware database om de links verder te checken. Dat is dan toch nog steeds vrij beperkt qua extra veiligheid?
URL-checkers bieden steeds meer schijnveiligheid. Cybercriminele registreren aan de lopende band nieuwe (en enige tijd niet gebruikte) domeinnamen voor phishingcampagnes. Zodra deze geblocklisted worden, hebben ze al weer nieuwe. Twee voorbeelden:
1) *.clients-access.comhttps://www.virustotal.com/gui/domain/clients-access.com/relationsDeze site heeft ondertussen minstens 127 kwaadaardige subdomains (gehad), zie de tweede sectie in die pagina. Ze worden stuk voor stuk, sinds medio vorig jaar, gehost bij Amazon - met een nieuwe "wave" sinds 21 januari dit jaar (op 4 feb. waren er nog "maar" 62 subdomains c.q. siblings als je VT bekijkt vanuit één van die subdomains). Allemaal met een Let's Encrypt certificaat. Niemand die hier iets tegen doet.
Op het IPv4-adres van Amazon, waar je de meeste van die "*.clients-access.com" phishing-sites vindt, komt, in een razend tempo, nog
veel meer shit voorbij (als je na een minuut of zo de volgende pagina ververst, zie je al weer nieuwe domeinnamen, maar hier zitten ook legitieme tussen):
https://www.virustotal.com/gui/ip-address/199.59.243.225/relations2) IPv4: 213.226.123.41Dit IP-adres is van een foute huurder bij een "bullet proof" Russische hoster, zie
https://www.virustotal.com/gui/ip-address/213.226.123.41/relationsAlle domeinnamen die je hier ziet, waarvan er dagelijks bijkomen (zie de datum links in de eerste sectie), zijn duidelijk bedoeld voor phishing. Ook hier allemaal Let's Encrypt certs en niemand die er iets tegen doet.
Probleem: aanvankelijk worden die sites niet door (verreweg de meeste) virusscanners geblokkeerd en ook staan ze niet vanaf seconde nul op blocklists. Je verspilt meestal tijd door zo'n checker te raadplegen: prima als deze van een domein zegt dat het kwaadaardig is, maar wat doe je als alles volgens zo'n URL-checker okay lijkt? Ook googlen van een domeinnaam helpt steeds vaker "niet", in de zin van dat Google
niks vindt als je zoekt naar
site:domeinnaamJe kunt, in mijn ervaring, in de meeste gevallen beter
meteen zelf naar de domeinnaam gaan kijken en conclusies proberen te trekken. Als dat twijfel oplevert, Googlen of DuckDuckGo'en. Weinig of geen resultaten, of bijv. pagina's met Chinese tekens op een ogenschijnlijk westerse site, zijn tekenen aan de wand.
Door Anoniem @10:06: Overigens een erg indrukwekkende "gebruiksaanwijzing" die mij wel de pet te boven gaat :)
Dank, maar als je een iPhone hebt en gewoon begint met de Opdrachten app, zul je zien dat het allemaal best meevalt :-)
Edit 13:58: diverse aanvullingen halverwege deze reactie.