Récemment, nous avons été confrontés à une situation où plusieurs antivirus (Kaspersky, Quttera, McAfee, Norton Safe Web, Bitdefender et quelques moins connus) ont commencé à bloquer notre site. L'examen de la situation m'a amené à comprendre qu'il est très facile de se retrouver sur une liste de blocage, il suffit de quelques plaintes (même sans justification). Je décrirai le problème plus en détail ci-dessous.
Le problème est assez sérieux, car presque chaque utilisateur a maintenant un antivirus ou un pare-feu installé. Et le blocage d'un site par un grand antivirus comme Kaspersky peut rendre le site inaccessible à un grand nombre d'utilisateurs. Je voudrais attirer l'attention de la communauté sur ce problème, car il ouvre la voie à des méthodes déloyales de lutte contre les concurrents.
Je ne vais pas fournir de lien vers le site lui-même ou mentionner l'entreprise, afin que cela ne soit pas perçu comme une forme de publicité. Je préciserai uniquement que le site est légal, que l'entreprise a un enregistrement commercial et que toutes les données sont fournies sur le site.
Récemment, nous avons reçu des plaintes de clients indiquant que notre site était bloqué par l'antivirus Kaspersky comme étant un site de phishing. De multiples vérifications de notre part n'ont révélé aucun problème sur le site. J'ai soumis une déclaration via le formulaire sur le site de Kaspersky concernant une fausse alerte de l'antivirus. En conséquence, nous avons reçu la réponse suivante :
Nous avons vérifié le lien que vous avez envoyé.
Les informations relatives au lien présentent une menace de perte de données utilisateur, la fausse alerte n'a pas été confirmée.
Aucune confirmation indiquant que le site représente une menace n'a été donnée. Lors des démarches suivantes, la réponse suivante a été reçue :
Nous avons vérifié le lien que vous avez envoyé.
Ce domaine a été ajouté à la base en raison des plaintes des utilisateurs. Le lien sera exclu des bases anti-phishing, mais un suivi sera mis en place en cas de plaintes répétées.
D'où il ressort clairement que le simple fait d'avoir des plaintes constitue une raison suffisante pour le blocage. Supposément, le site est bloqué s'il y a eu un certain nombre de plaintes, et aucune confirmation de la plainte n'est nécessaire.
Dans notre cas, des acteurs malveillants ont envoyé une série de plaintes. À notre DC, à plusieurs antivirus et à des services tels que phishtank. Sur phishtank, les plaintes comprenaient uniquement un lien vers le site et une indication que le site était phishing. Et c'est tout, aucune confirmation n'a été donnée.
Il semble donc possible de bloquer des sites indésirables simplement par des plaintes de spam. Il est même possible qu'il existe des services qui fournissent de tels services. S'ils n'existent pas, ils apparaîtront clairement bientôt, compte tenu de la simplicité d'enregistrement d'un site dans les bases de certains antivirus.
J'aimerais entendre des commentaires des représentants de Kaspersky. J'aimerais également entendre les commentaires de ceux qui ont eux-mêmes été confrontés à ce problème et combien de temps il a fallu pour le résoudre. Peut-être que quelqu'un pourrait conseiller des méthodes juridiques d'influence dans de telles situations. Pour nous, cette situation a entraîné des pertes réputationnelles et financières, sans parler du temps perdu à résoudre le problème.
J'aimerais attirer le plus d'attention possible sur cette situation, car tout site est dans un groupe à risque.
Ajout.
Dans les commentaires, un lien a été donné vers un post intéressant de HerrDirektor sur ce problème. Je vais le citer
Je vous en dirai plus — voulez-vous créer des problèmes pour presque n'importe quel site en 10 minutes (à l'exception des grands, gras et très connus) ?
Bienvenue sur phishtank.
Nous enregistrons 8-10 comptes (il suffit d'un e-mail pour confirmation), nous choisissons le site qui nous plaît, nous l'ajoutons à la base de phishtank avec un compte (pour compliquer la vie du propriétaire, on peut insérer dans le formulaire un e-mail de pub de porno gay avec des nains).
Avec les comptes restants, nous votons pour le phishing, jusqu'à ce qu'on nous écrive «This is phish site !».
C'est fait. Nous attendons. Bien que pour consolider le succès, nous pouvons également ajouter http:// et https:// et avec une barre à la fin et sans barre, ou avec deux barres. Et si nous avons vraiment le temps, nous pouvons également ajouter des liens sur le site. Pourquoi ? Et bien voilà :Après 6-12 heures, Avast se connecte et récupère les données. Après 24-48 heures, les données se répandent sur divers «antivirus» — comodo, bit defender, clean mx, CRDF, CyRadar… D'où le maudit virustotal tire ensuite ses données.
Évidemment, PERSONNE ne vérifie l'exactitude des données, tout le monde s'en moque profondément.En conséquence, la plupart des extensions « antivirus » pour navigateurs, des antivirus gratuits et d'autres logiciels commencent à signaler le site de diverses manières, allant des panneaux rouges à de vraies pages brandissant que le site est extrêmement dangereux et qu'y accéder est comparable à une mort certaine.
Et pour nettoyer ces écuries d'Augias, chaque antivirus doit être contacté par le support technique. Pour chaque lien ! Avast réagit assez rapidement, les autres ne font que poser la tête dans le sable.
Mais même si les étoiles s'alignent et que l'on parvient à retirer le site des bases de données antivirus, le « méga-ressource » virustotal s'en moque totalement. Tu n’es pas dans la base de phishtank ? Peu importe, tu y étais un jour, nous allons montrer ce qu'il y a. Tu n'es pas dans bit defender ? Pas de souci, nous montrerons quand même que tu y étais.
Ainsi, tout logiciel ou service s'appuyant sur virustotal continuera à montrer que le site a des problèmes jusqu'à la fin des temps. On peut batailler longtemps et méthodiquement pour sortir de cette ressource lamentable, et peut-être aura-t-on de la chance. Mais on peut aussi ne pas avoir de chance.
* Parmi ceux qui bloquent le site, se trouve même le fournisseur fortinet. Et nous n’avons toujours pas retiré le site de certaines listes de sites de phishing.
* Ceci est mon premier post sur Habr. Je n'étais malheureusement qu'un lecteur avant, mais la situation actuelle m’a motivé à écrire un post.
Source : habr.com
