Cloudflare clasifica archive.today como "C&C/Botnet"; no se resuelve en 1.1.1.2

• El servicio DNS de Cloudflare clasificó el dominio archive.today como un sitio relacionado con comando y control (C&C) o botnet
• Como resultado, el dominio no se resuelve correctamente a través de 1.1.1.2 DNS seguro
• Al acceder a la página de radar.cloudflare.com, se ejecuta automáticamente un proceso de verificación de bots
• Los usuarios deben activar JavaScript y las cookies, y se muestra el mensaje “Realizando verificación de seguridad”
• Este procedimiento forma parte del mecanismo de seguridad de Cloudflare para bloquear bots maliciosos y proteger el tráfico legítimo

---

Procedimiento de verificación de seguridad al acceder a radar.cloudflare.com

• radar.cloudflare.com aplica un servicio de seguridad para protegerse de bots maliciosos
  • Realiza un proceso de verificación de bots para confirmar que el usuario es una persona real
  • En este proceso es necesario activar JavaScript y las cookies
• En la página aparece el texto “Realizando verificación de seguridad” junto con un estado de espera para la confirmación del usuario
  • Una vez completada la verificación, aparece el mensaje “La verificación se completó con éxito. Esperando la respuesta de radar.cloudflare.com”
• Este procedimiento es parte del sistema de protección de seguridad de Cloudflare, cuyo objetivo es bloquear accesos automatizados y permitir solo tráfico legítimo

[GN⁺]

Comentarios en Hacker News

• archive.today y sus dominios están clasificados en el DNS 1.1.1.2 de Cloudflare como CIPA Filter, Command and Control & Botnet, DNS Tunneling, etc.
  En una consulta de ejemplo, archive.is responde con 0.0.0.0 y aparece la anotación "EDE(16): Censored"
  Como discusiones relacionadas, están el post sobre que Archive.today lanzó un ataque DDoS contra un blog, el caso en que Wikipedia empezó a eliminar enlaces de archive.today, y un post preguntando por comportamientos extraños de archive.today

  • Gracias a esto me enteré por primera vez de la API de DoH. Tiene CORS habilitado, así que se puede llamar directamente desde JavaScript
    Por eso hice la herramienta web de consultas DNS con la que siempre había soñado

• Creo que este asunto debe verse desde dos ángulos. Uno es el ataque al blog, y el otro es que archive.today está siendo objeto de una investigación del FBI
  Además, alguna organización está ejerciendo presión usando acusaciones falsas de CSAM
  Véanse el artículo sobre la citación del FBI y la explicación de bloqueo de AdGuard

  • Jani Patokallio, de gyrovague.com, publicó un post intentando doxxear al operador de archive.today
    Afirma que investigó porque “le parecía raro no saber quién opera un servicio tan usado”
    Pero archive.today es un proyecto de archivo de interés público ofrecido gratuitamente. Su operador mantiene el servicio asumiendo riesgos legales
    Me parece mucho más peligroso intentar exponer públicamente la identidad de alguien que un DDoS. Ese tipo de conducta se acerca más al acoso que a una simple fascinación
  • Al final existen dos posturas: que archive.today está incurriendo en actividades ilegales y, al mismo tiempo, que está bajo investigación de las autoridades judiciales de EE. UU.
  • Desde otro ángulo, también se argumenta que archive.today puede facilitar infracciones de copyright. Yo también lo uso a veces para saltarme un paywall

• Creo que Cloudflare actúa como una organización pantalla de agencias de inteligencia. Junto con grupos como Spamhaus, está ejerciendo un poder excesivo

• Si alguien está confundido sobre por qué un DNS público bloquearía sitios, 1.1.1.2 es un DNS para bloquear malware. No es lo mismo que el 1.1.1.1 normal
  Para el contexto relacionado con el DDoS, véase gyrovague.com

  • Como referencia, 1.1.1.3 es un DNS para bloquear contenido para adultos
  • Yo ya pensaba que 1.1.1.1/1.0.0.1 tampoco resolvían dominios como archive.today

• Hace tiempo leí el post de blog de alguien que antes trabajó en la oficina europea de Google y que, tras usar archive.today con frecuencia, intentó averiguar quién era el operador
  Al final se rindió y cerró diciendo que “le gustaría al menos invitarle una cerveza”, pero el proceso de investigación fue bastante profundo

  • Supongo que se refiere a este post. Fue polémico, pero me resultó entretenido. Algunos lo ven como doxxing, pero yo no lo veo así

• El ataque de archive.today contra gyrovague.com lleva más de dos meses
  Las IP de Finlandia caen en un captcha infinito, y al pasar el primer captcha un snippet de JS empieza a llamar a la función de búsqueda del sitio como si fuera spam

  • No soy desarrollador web, pero me pregunto si no habría alguna forma de impedir la ejecución de ese script con headers CORS o controles de acceso
  • También estoy experimentando el mismo captcha infinito con una IP del sur de California. Algo está terriblemente mal o es malicioso
  • Me pregunto si al bloquear el JavaScript de archive.today con NoScript efectivamente se evita participar en el DDoS
  • No entiendo por qué archive.today está atacando a gyrovague
  • No solo las IP de Finlandia: también se bloquea el acceso desde VPN, así que estoy buscando servicios alternativos

• La línea de tiempo de este caso es interesante
  (1) En mayo de 2019 se publicó un post diciendo “archive.is no es accesible desde Cloudflare DNS (1.1.1.1)”, y Cloudflare respondió que “no bloqueamos ningún dominio”
  Explicó que archive.is devolvía respuestas incorrectas debido a la política de 1.1.1.1 de no pasar información de EDNS subnet
  Cloudflare dijo que no transmite esa información para proteger la privacidad de los usuarios y evitar la vigilancia a nivel país
  (2) En septiembre de 2021 hubo una discusión de seguimiento titulada “¿Cloudflare 1.1.1.1 bloquea archive.is?”

  • El 1.1.1.1 mencionado arriba es el resolvedor básico de Cloudflare, mientras que 1.1.1.2 y 1.1.1.3 son para bloqueo de malware y de contenido

• Solo viendo este hilo, parece que hay múltiples personajes activos al mismo tiempo alrededor de archive.today. Parecen sockpuppets o parte de una operación mayor

• Sin archive.today, una parte importante de los posts de HN no se podrían leer

  • Eso probablemente lo estás confundiendo con archive.org

• La clasificación como DNS Tunneling y C&C/botnet resulta rara. Eso no implica simple rastreo, sino exfiltración de datos o evasión de firewall
  Me pregunto qué patrón de tráfico pudo haber disparado esa clasificación

  • A mí también me llamó la atención. Pensé si sería porque archive.today puede usarse para eludir sitios bloqueados por DNS, pero web.archive.org no tiene esa marca. Debe haber otra razón
    Información del dominio web.archive.org en Cloudflare Radar