Je kon erop wachten: in Telegram-groepen – het ondergrondse verzet anno nu – circuleren Corona-apps waarmee je de QR-controle kunt omzeilen. Illegaal en strafbaar, maar het geeft aan hoe een enkele slimme nerd onze vriendelijke overheid in het hemd zet.

Hugo de QRankzinnige had het allemaal zo uitgekookt laten bedenken door zijn handlangers. Dus er kwam zo’n geweldige code waardoor alleen gevaccineerden toegang konden krijgen tot van alles en nog wat. Toen bleek dat het vaccin doorgaans na enige tijd in verval raakte en geimpften toch ziek konden worden en het virus overdragen werd de geldigheid van de code vrolijk verlengd. Juristen zouden op goede gronden kunnen betogen dat ook dit als illegaal, strafbaar en ongrondwettelijk kan worden bestempeld.

Vermakelijk is dat het bericht over de illegale apps uitgerekend door de ambtenaren van de NOS in de wereld werd gebracht, slechts door NU.nl en de geeks van Tweakers en security.nl opgepikt. Onder valse vlag. Dat dan weer wel: ‘Valse coronacheck-apps sluizen QR-codes van gebruikers door’ meldde het tech-jongetje van het staatspropaganda-apparaat. Gevaar voor privacy! Want dat de overheid niemand op het idee wil brengen om in deze eenvoudig vindbare Telegram-groepen op zoek te gaan naar dit soort verwerpelijke constructen staat als een paal boven water. Vandaar dat waarschijnlijk de overige, strak onder de knoet van Ollongren en Grapperhaus zittende, MSM het bericht niet het daglicht lieten zien.

Volgens het NOS-jongetje zijn er twee valse coronacheck-apps omloop die de QR-codes van hun gebruikers doorsluizen naar een onbekende bestemming. De apps zijn bedoeld om met andermans QR-code ergens naar binnen te kunnen, of juist als ondernemer een controle op QR-codes te veinzen zonder dat er daadwerkelijk wordt gecontroleerd. Uit een analyse van de broncode van de app blijkt dat de QR-codes die gebruikers scannen, worden doorgestuurd naar een externe server. Wie tot de QR-codes toegang heeft en wat er vervolgens met de codes gebeurt is onbekend.

Fraude: strafbaar
“Het is strafbaar om te frauderen met Corona-toegangsbewijzen”, had een woordvoerder van het ministerie van Volksgezondheid al eens laten weten. “We hebben eerder aangifte gedaan en onderzoeken of we dat opnieuw moeten doen.” Eén van de nagemaakte Corona Check-apps laat mensen die geen legitieme QR-code willen gebruiken andermans code kopiëren. Vervolgens kunnen ze die laten zien in iets wat lijkt op de ‘echte’ CoronaCheck-app. Codes van Europeanen van buiten Nederland zijn het meest gevoelig. Deze QR-codes bevatten veel privégegevens: welk vaccin je hebt gehad en je complete naam. Bovendien zijn ze lang geldig.

De andere app laat ondernemers die niet willen discrimineren ogenschijnlijk controles op de CoronaCheck-app uitvoeren, terwijl in de praktijk alle QR-codes een groen vinkje opleveren. Daarbij gaat het ook om QR-codes die zijn verlopen of zelfs helemaal geen coronatoegangsbewijs zijn. Ook die codes die daarmee worden gescand, worden doorgestuurd naar een externe server. Of er overigens ondernemers zijn die de valse scanner-app daadwerkelijk gebruiken, is onbekend. Het gebruik ervan is verboden, maar een BOA mag daar geen controle op uitvoeren, los nog van de vraag of men daarvoor de benodigde kennis heeft.

De makers van de apps zitten onderwijl niet stil: zij zinnen op een nieuwe functie in de app, waarmee elke gebruiker een QR-code op naam kan zetten, met een functie om een QR-code passend bij de initialen en geboortedatum of geboortemaand te downloaden. De bedoeling is dat er ook op identiteitskaart wordt gecontroleerd, maar dat gebeurt niet altijd. Gedeelde QR-codes worden overigens mondjesmaat geblokkeerd door de makers van de officiële Corona Check-app. Op dit moment staan er 1258 QR-codes op de zwarte lijst, waarvan 997 Nederlandse en 261 afkomstig van buiten Nederland.

Anonieme tip
Na een tip van een anonieme gebruiker dook de NOS-redactie in de broncode van de webversie van de nagemaakte CoronaCheck-apps. Zij zocht uit naar welke cloudprovider de QR-codes worden verstuurd en vervingen de login-gegevens (in technische termen de api-sleutels) van de makers van de app door die van een account in hun beheer. Vervolgens scanden zij QR-codes met de nagemaakte apps en keken we welke data de app bleek te versturen. Daarbij gaat het onder meer om de inhoud van de QR-code. Die konden zij vervolgens omzetten in een geldige QR-code die door de officiële scanner-app wordt herkend.

Nooit te moeilijk denken, blijkt maar weer. De inhoud van ‘scan’ of ‘qr’ rechtstreeks in een QR-code pompen en klaar is kees.

Acht regels code en ik kreeg een geldige QR-code, die door de officiële scanner werd geaccepteerd. pic.twitter.com/z0hEDV1hPR

— Joost Schellevis (@Schellevis) December 2, 2021

Dit geeft tevens aan dat die hele QR-code in combinatie met het 2/3G-beleid gewoon niet werkt. Iedere gevaccineerde houdt eeuwig zijn groen vinkje en gaat lekker besmet overal in en uit en blijft zo iedereen besmetten. Zo schieten ze in Den Haag te ver door in het gebruiksgemak en technocratische oplossingen. Een illegaal verkregen QR-code (van een gevaccineerde) is zo offline 10 dagen geldig bij een derde die deze niet uit de originele app heeft verkregen. In theorie is dit afgevangen door de check op initialen en geboortedatum. Maar zoals iedereen weet en had kunnen verwachten wordt deze check zelden uitgevoerd.

Malafide apps
Lezers die wel oren hebben naar hun ‘eigen’ Corona-Check app moeten wel op hun tellen passen. Onderzoekers hebben in de Google Play Store verschillende malafide apps met in totaal 300.000 downloads ontdekt die zich voordoen als gratis QR-codelezers, PDF-scanners en crypto-apps, maar in werkelijkheid proberen om de gebruiker malware te laten installeren, zo meldt de website security.nl. Zodra gebruikers de malafide apps via de Google Play Store hebben geïnstalleerd krijgen ze een update, niet afkomstig van de Play Store, die vereist dat gebruikers het installeren van onbekende apps inschakelen. Dit staat vanwege beveiligingsredenen standaard in Android uitgeschakeld.

De update is in werkelijkheid een banking trojan die gegevens voor internetbankieren probeert te stelen. Na de installatie van de “update” vraagt de app om aanvullende permissies. Wanneer de gebruiker deze permissies verleent heeft de malware volledige controle over het toestel en kan allerlei acties in naam van het slachtoffer uitvoeren. Volgens de onderzoekers hebben de malafide apps veel positieve reviews. Het aantal installaties gecombineerd met deze recensies zouden Android-gebruikers ervan kunnen overtuigen om de apps te installeren, aldus de onderzoekers.

---

Meer over de ontwikkelingen richting een plicht u te laten inenten, vaccinatiedwang en een vaccinatiepaspoort leest u hier. Meer feiten en opinies over vaccinatie tegen Corona vindt u hier. Het Corona-virus (Covid-19), de wijze van aanpak van Corona en haar sociale en economische gevolgen vindt u hier.