For nylig stødte vi på en situation, hvor en række antivirusprogrammer (Kaspersky, Quttera, McAfee, Norton Safe Web, Bitdefender og flere mindre kendte) begyndte at blokere vores hjemmeside. Undersøgelsen førte mig til forståelsen af, at det er ekstremt let at komme på bloklisten, blot ved at få nogle få klager (selv uden begrundelse). Jeg vil beskrive problemet mere detaljeret nedenfor.
Problemet er ret alvorligt, da næsten hver bruger nu har et antivirusprogram eller firewall installeret. Og blokeringen af en hjemmeside af et stort antivirusprogram som Kaspersky kan gøre hjemmesiden utilgængelig for mange brugere. Jeg ønsker at tiltrække opmærksomhed fra samfundet til dette problem, da det åbner for enorme muligheder for usædvanlige metoder til at bekæmpe konkurrenter.
Jeg vil ikke give et link til selve hjemmesiden eller nævne firmaet, for at det ikke skal blive opfattet som en form for PR. Jeg vil kun påpege, at hjemmesiden opererer lovligt, firmaet har en kommerciel registrering, og alle data er givet på hjemmesiden.
For nylig har vi modtaget klager fra kunder om, at vores hjemmeside bliver blokkeret af Kaspersky antivirus som phishing. Adskillige kontroller fra vores side har ikke afsløret nogen problemer på hjemmesiden. Jeg indsendte en anmodning gennem formularen på Kasperskys hjemmeside vedrørende en falsk advarsel fra antivirusprogrammet. Som resultat modtog vi svaret:
Vi har tjekket det link, du sendte.
Informationen på linket udgør en trussel mod tab af brugerdata, og den falske advarsel blev ikke bekræftet.
Der blev ikke givet nogen bekræftelser på, at hjemmesiden udgør en trussel. I løbet af viderehenvendelser modtog vi følgende svar:
Vi har tjekket det link, du sendte.
Denne domæne blev tilføjet til databasen på grund af brugerklager. Linket vil blive undtaget fra anti-phishing databaser, men der vil blive indført overvågning i tilfælde af gentagne klager.
Heraf bliver det klart, at en tilstrækkelig grund til blokeringen er selve faktum af, at der er nogen klager. Antageligvis bliver hjemmesiden blokeret, hvis der har været flere klager, og der kræves ingen bekræftelse på klagerne.
I vores tilfælde sendte kriminelle en række klager. Til vores datacenter, til flere antivirusprogrammer og til tjenester som phishtank. På phishtank omfattede klagerne kun et link til hjemmesiden og angav, at hjemmesiden var phishing. Og det var det, der blev ikke givet nogen bekræftelser.
Det ser ud til, at man kan blokere uønskede hjemmesider med simpel spam-klager. Der findes muligvis endda tjenester, der tilbyder sådanne ydelser. Hvis de ikke findes, vil de næppe komme snart, givet den lethed, hvormed hjemmesider kan indføres i databaserne for nogle antivirusprogrammer.
Jeg vil gerne høre kommentarer fra repræsentanter for Kaspersky. Derudover vil jeg gerne høre fra dem, der selv har oplevet et sådant problem, og hvor hurtigt det blev løst. Måske kan nogen anbefale juridiske metoder til handling i sådanne situationer. For os har situationen resulteret i omdømme- og økonomiske tab, for ikke at nævne tidstab i forbindelse med løsning af problemet.
Jeg ønsker at tiltrække så meget opmærksomhed som muligt til situationen, da enhver hjemmeside er i risikogruppen.
Tillæg.
I kommentarer blev der givet et link til et interessant indlæg fra HerrDirektor. om dette problem. Jeg vil citere ham.
Jeg vil fortælle jer mere — vil I skabe problemer for næsten enhver hjemmeside på 10 minutter (undtagen de store, velkendte og meget berømte)?
Velkommen til phishtank.
Vi registrerer 8-10 konti (kun en e-mail til bekræftelse er nødvendig), vælger den ønskede hjemmeside, tilføjer den fra en konto til phishtank-databasen (for at komplicere livet for ejeren kan man indsætte et eller andet reklamebrev for gayporno med dværge i tilføjelsesformularen).
De resterende konti stemmer for phishing, indtil vi får besked om: «This is phish site!».
Færdig. Vi venter og ser. Selvom man for at sikre succes kan tilføje både http:// og https:// og med og uden skråstreg til slut, eller med to skråstreger. Og hvis man har meget tid, kan man også tilføje links på siden. Hvorfor? Sådan:Efter 6-12 timer bliver Avast trukket ind og henter data derfra. Efter 24-48 timer spreder dataene sig til diverse «antivirusprogrammer» — comodo, bit defender, clean mx, CRDF, CyRadar... Hvorfra de så suger data til det sk... virustotal.
Naturligvis tjekker NOGEN ikke datakonsistensen, alle giver et stort ligeglad.Og som resultat begynder det meste af «antivirus»-udvidelserne til browsere, gratis antivirusprogrammer og andet software at klage over den angivne hjemmeside på alle mulige måder, fra røde skilte til fulde sider, der annoncerer, at hjemmesiden er ekstremt farefuld, og at det er livsfarligt at besøge.
Og for at rydde op i disse Augias-stalde må enhver af disse «antivirusprogrammer» skrive til teknisk support. For HVER enkelt link! Avast reagerer forholdsvis hurtigt, de andre samler bare de kendte oplysninger.
Men selv hvis stjernerne skulle gå sammen, og vi får ryddet hjemmesiden fra antivirusdatabaserne, så bekymrer den «mega-ressource» virustotal sig overhovedet ikke om det. Er du ikke i phishtank-databasen? Det er ligegyldigt, du har været der før, så vi viser, hvad der er. Er du ikke i bit defender? Ingen problem, vi viser stadig, at du har været der.
Derfor vil ethvert software eller service, der er afhængig af virustotal, for evigt vise, at der er problemer med hjemmesiden. Man kan længe og metodisk kæmpe med denne latterlige ressourcer og måske være heldig at slippe væk derfra. Men man kan også være uheldig.
* Blandt dem der blokerer hjemmesiden, var selv leverandøren fortinet. Og vi har stadig ikke fået hjemmesiden fjernet fra nogle phishinglister.
* Dette er mit første indlæg på Habra. Desværre har jeg tidligere kun været læser, men den nuværende situation motiverede mig til at skrive et indlæg.
Kilde: habr.com
