Recientemente nos encontramos con una situación en la que varios antivirus (Kaspersky, Quttera, McAfee, Norton Safe Web, Bitdefender y algunos menos conocidos) comenzaron a bloquear nuestro sitio web. El estudio de la situación me llevó a comprender que es bastante fácil ser incluido en una lista de bloqueo, solo se necesitan algunas quejas (incluso sin justificación). Describiré el problema con más detalle a continuación.
El problema es bastante serio, ya que casi cada usuario tiene instalado un antivirus o un firewall. Y el bloqueo de un sitio web por un gran antivirus, como Kaspersky, puede hacer que el sitio sea inaccesible para una gran cantidad de usuarios. Me gustaría atraer la atención de la comunidad hacia este problema, ya que abre un enorme campo para métodos sucios en la lucha contra la competencia.
No voy a proporcionar un enlace al sitio o mencionar la empresa, para que no se malinterprete como algún tipo de publicidad. Solo indicaré que el sitio opera de acuerdo con la ley, la empresa tiene registro comercial y toda la información está disponible en el sitio.
Recientemente, hemos recibido quejas de clientes de que nuestro sitio fue bloqueado por el antivirus Kaspersky como un sitio de phishing. Múltiples verificaciones de nuestra parte no detectaron problemas en el sitio. Presenté un informe a través del formulario del sitio de Kaspersky sobre un falso positivo del antivirus. Como resultado, se recibió la respuesta:
Hemos verificado el enlace que nos envió.
La información en el enlace representa una amenaza de pérdida de datos de los usuarios, el falso positivo no fue confirmado.
No se dio ninguna confirmación de que el sitio represente una amenaza. En el transcurso de nuevas comunicaciones, se recibió la siguiente respuesta:
Hemos verificado el enlace que nos envió.
Este nombre de dominio fue añadido a la base debido a las quejas de los usuarios. El enlace será excluido de las bases de datos anti-phishing, pero se incluirá en monitoreo en caso de que haya quejas repetidas.
De aquí se deduce que un motivo suficiente para el bloqueo es el mero hecho de que haya alguna queja. Supuestamente, el sitio se bloquea si hay más de un cierto número de quejas y no se requiere ninguna confirmación de la queja.
En nuestro caso, los atacantes enviaron una serie de quejas. Tanto a nuestro DC, como a varios antivirus y a servicios como phishtank. Las quejas en phishtank solo incluían el enlace al sitio y la indicación de que el sitio era de phishing. Y eso es todo, no se dieron confirmaciones.
Parece que se pueden bloquear sitios no deseados simplemente con spam de quejas. Puede que incluso haya servicios que ofrezcan tales servicios. Si no los hay, definitivamente aparecerán pronto, dada la facilidad para incluir un sitio en las bases de algunos antivirus.
Me gustaría escuchar comentarios de representantes de Kaspersky. También, me gustaría saber de aquellos que han enfrentado este problema y cuán rápido se resolvió. Quizás alguien sugiera métodos legales de actuación en estas situaciones. Para nosotros, la situación ha llevado a pérdidas de reputación y económicas, sin mencionar el tiempo perdido para resolver el problema.
Quisiera atraer la mayor atención posible a la situación, ya que cualquier sitio está en riesgo.
Adición.
En los comentarios, compartieron un enlace a una publicación interesante de HerrDirektor sobre este problema. Lo citaré.
Les diré más: ¿quieren crear problemas a casi cualquier sitio en 10 minutos (excepto grandes, notorios y muy conocidos)?
Bienvenidos a phishtank.
Registramos de 8 a 10 cuentas (solo se requiere un correo electrónico para la confirmación), elegimos el sitio que nos guste, y lo añadimos desde una cuenta a la base de datos de Phishtank (para complicar la vida al propietario, se puede poner en el formulario al añadir una carta publicitaria de porno gay con enanos).
Con las cuentas restantes, votamos por phishing, hasta que nos digan «¡Este es un sitio de phishing!».
Listo. Nos sentamos y esperamos. Aunque para consolidar el éxito, se pueden añadir http:// y https:// y con barra al final y sin barra, o con dos barras. Y si realmente hay tiempo, también se pueden añadir enlaces en el sitio. ¿Por qué? Aquí están las razones:En 6-12 horas, Avast se activa y toma la información de allí. En 24-48 horas, los datos se dispersan a través de varios «antivirus» — como comodo, bit defender, clean mx, CRDF, CyRadar… De donde luego se alimenta el maldito virustotal.
Por supuesto, NADIE comprueba la veracidad de los datos, a todos les importa un comino.Y como resultado, la mayoría de las extensiones «antivirus» para navegadores, antivirus gratuitos y otro software comienzan a advertir de diversas maneras sobre el sitio indicado, desde carteles rojos hasta páginas completas que afirman que el sitio es extremadamente peligroso y que ir allí equivale a una muerte segura.
Y para limpiar estos establos augianos, cada uno de esos 'antivirus' tiene que contactar a soporte técnico. ¡Por CADA enlace! Avast responde bastante rápido, mientras que los demás simplemente acumulan información conocida.
Pero incluso si las estrellas se alinean y logramos limpiar el sitio de las bases de datos de antivirus, al 'mega-recurso' virustotal simplemente no le importa. ¿No estás en la base de phishtank? Poco importa, antes estuviste, así que mostraremos lo que hay. ¿No estás en bit defender? No importa, de todas formas mostraremos que estuviste.
Por lo tanto, cualquier software o servicio que dependa de virustotal seguirá mostrando que el sitio está en mal estado para siempre. Se puede golpear este recurso miserable una y otra vez y tal vez tengamos suerte de salir de ahí. Pero también puede que no tengamos suerte.
* Entre los que bloquean el sitio, incluso se encuentra el proveedor fortinet. Y todavía no hemos sacado el sitio de algunas listas de sitios de phishing.
* Este es mi primer post en Habré. Desafortunadamente, antes solo fui lector, pero la situación actual me motivó a escribir un post.
Fuente: habr.com
