Na grote Toon update vreemde DNS connecties?

[copywizard]

Hoi allemaal ik wil graag vragen of jullie (als Toon gebruikers) iets voor mij willen controleren en misschien mee willen helpen uitzoeken?

Ik heb al jaren Toon en op zich best tevreden mee maar zins afgelopen Dinsdag 14-03-2017 is er voor Zowel Toon als de Toon app (op je mobiel) op het netwerk van Eneco een grote update geweest.

Tot nu toe is die update voor mij zeer positief geweest en werkt alles lekker vlot!

Nu zou ik geen tweaker zijn als ik niet wat meer dan alleen een Toon in huis heb zo heb ik ook een Pi-Hole DNS server draaien.

wat die kijk ik af en toe eens na en update deze netjes nu merkte ik gisteren in eens dat er op 1 dag 1600+ DNS requests zijn gedaan door Toon naar een domein genaamd dcollector.quby.nl
(quby is de fabrikant achter toon en is in handen van Eneco)
Dit deed Toon voorheen nooit en dit was dan ook geheel vreemd voor mij en deze 1600+ aanvragen waren dan ook meteen meer dan de helft van alle aanvragen op die hele dag!!!

nader onderzoek gaf aan dat er letterlijk iedere minuut een verbinding werd opgezet met dit domein?!?!?

dus heb ik het op de blacklist van de pi-hole geplaatst en heb nog geen negatieve effecten gemerkt na 2 dagen op de blacklist mijn vermoeden was dus ook dat het domein verder geen functie heeft die ik zal missen?

dus ben ik verder gaan zoeken.

Nmap leerde mij dat het domein een vermoedelijke uptime heeft van Uptime guess: 3.373 days (since Tue Mar 14 09:30:59 2017) dit is natuurlijk heel toevallig omdat dit dezelfde dag van de grote update was?

verder word verwezen naar een domein met de naam data-collector-lb-1525404291.eu-central-1.elb.amazonaws.com ok dat ziet er direct al uit als iets dat ik niet wil en ook niet wist dat dit zou worden geïmplementeerd na de update?

ook bleek de poort 443 open te staan dus ik heb het gehele domein eens door ssllabs gehaald waaruit kwam dat beide domeinen geen correcte certificaat naam hebben maar de naam van het certificaat is VPN-Eneco
Ok??? why would my Toon need a VPN?

dus nu loop ik iets vast ik heb de vraag al uitstaan bij Eneco zelf hoe, wat en waarom?

maar bedacht me ineens dat mijn mede tweakers dit misschien ook wel interessant vonden om te weten en misschien zelf iets verder in te duiken?

[LittleTycoon]

de infrastructuur is gemigreerd naar een cloud oplossing

[HollowGamer]

Denk dat je beter met een netwerksniffer kan gaan werken om te zien wat er (versleuteld) wordt verstuurd/ontvangen.

VPN wordt vaker over de SSL-poort gedaan (vaak is 1194 bijv. dicht bij gebruik van OpenVPN), en daar hoeft de naam in het certificaat niet perse van de kloppen.

Iedere minuut is best veel, maar een DNS-request is wel anders dan een echt server request. Denk inderdaad wat @LittleTycoon aangeeft klopt en daardoor dit nu wel kan.

[copywizard]

ben vandaag terug gebeld door eneco en zei hebben zelf geen idee hoe dit in elkaar zit ik heb momenteel al een week het domain geblokked maar nog geen negatieve effecten gemerkt dus vraag me af waar het voor is?

zei zetten de vraag uit bij quby en ik kan donderdag antwoord verwachten ik hou jullie op de hoogte

[sugarlee89]

spannend

[remmuz]

tijdens het rooten van mijn Toon kwam ik erachter dat Toon regelmatig contact zoekt met het quby domein.
Ik zag in ieder geval een aantal keer per minuut een ping voorbij komen en regelmatig haalt Toon de juiste tijd op bij time.quby.nl.
Dit was voor de migratie naar de cloud dus mogelijk is hier iets in veranderd.
In ieder geval is het altijd dus al zo geweest dat Toon vaak contact maakt met quby.nl

[Ryan_]

Zou je misschien ook een link willen posten naar je post op Eneco.nl?

[copywizard]

Ryan_ schreef op vrijdag 24 maart 2017 @ 13:23:
Zou je misschien ook een link willen posten naar je post op Eneco.nl?

ik heb helaas geen post op eneco.nl gemaakt ik heb een ticket/contact formulier ingevuld en daar hebben ze op gereageerd via de telefoon.
ze hebben gisteren helaas nog niet terug gebeld mocht ik maandag nog niks hebben gehoord bel ik er nog even achteraan.

remmuz schreef op vrijdag 24 maart 2017 @ 13:13:
tijdens het rooten van mijn Toon kwam ik erachter dat Toon regelmatig contact zoekt met het quby domein.
Ik zag in ieder geval een aantal keer per minuut een ping voorbij komen en regelmatig haalt Toon de juiste tijd op bij time.quby.nl.
Dit was voor de migratie naar de cloud dus mogelijk is hier iets in veranderd.
In ieder geval is het altijd dus al zo geweest dat Toon vaak contact maakt met quby.nl

wat betreft connecties als die jij beschrijft is dat logisch als ze de tijd ophalen via quby no problem en het domein time.quby.com klinkt ook een stuk logischer dan het quby domein dat ik opgaf en 1600+ connecties op 1 dag vind ik gewoon erg veel zeker ook nu dat ik het domain heb geblokked ik tot op heden niks aan de werking van toon heb gemerkt dus het lijkt ook nog eens nergens voor nodig te zijn?

[ Voor 51% gewijzigd door copywizard op 24-03-2017 13:27 ]