Nemrég egy olyan helyzettel szembesültünk, amikor több antivírus (Kaspersky, Quttera, McAfee, Norton Safe Web, Bitdefender és néhány kevésbé ismert) blokkolni kezdte a weboldalunkat. A helyzet tanulmányozása során megértettem, hogy nagyon könnyű egy blokkolási listára kerülni, elegendő néhány panasz (még alátámasztás nélkül) is. A problémát részletesebben később kifejtem.
A probléma elég komoly, mivel mostanra szinte minden felhasználónak van antivírusa vagy tűzfala. Egy olyan nagy antivírus, mint a Kaspersky, által végrehajtott weboldalblokkolás miatt a weboldal elérhetetlenné válhat számos felhasználó számára. Szeretném felhívni a közösség figyelmét a problémára, mivel ez hatalmas teret ad a versenytársakkal szembeni tisztességtelen módszereknek.
Nem fogok hivatkozni magára az oldalra, vagy megnevezni a céget, hogy ezt ne lehessen valamilyen reklámként értelmezni. Csak annyit említek, hogy az oldal a törvényeknek megfelelően működik, a cég kereskedelmi regisztrációval rendelkezik, és minden adat elérhető az oldalon.
Nemrégiben panaszokat kaptunk az ügyfeleinktől, hogy weboldalunkat a Kaspersky antivírus phishing oldalnak minősíti. Több ellenőrzést végeztünk, de nem találtunk problémát az oldalon. Beadtam egy kérelmet a Kaspersky weboldalán keresztül a fals pozitív eset miatt. Ennek eredményeként a következő választ kaptuk:
Ellenőriztük a maga által küldött linket.
A linken található információ felhasználói adatok elvesztésének kockázatát jelenti, a fals pozitív esetet nem erősítették meg.
A weboldal veszélyességét igazoló bizonyíték nem állt rendelkezésre. A további megkeresések során a következő választ kaptuk:
Ellenőriztük a maga által küldött linket.
Ez a domain felhasználói panaszok miatt került a rendszerbe. A linket ki fogják venni az anti-phishing adatbázisokból, de a panaszok esetén monitorozásra kerül.
Itt világossá válik, hogy elegendő ok a blokkolásra, ha bárminemű panasz érkezik. Feltételezhető, hogy az oldal akkor kerül blokkolásra, ha már több panasz is érkezett, és a panasz megerősítése nem szükséges.
A mi esetünkben, a kártékony felhasználók egy sor panaszt küldtek. A mi DC-nknek, több antivírusnak, és olyan szolgáltatásoknak, mint a phishtank. A phishtank-en a panaszok csak az oldal linkjét tartalmazták, és azt, hogy az oldal phishing oldal. Ennyi, semmilyen megerősítést nem adtak.
Akkor blokkolhatunk nem kívánt webhelyeket, egyszerű spam panaszokkal. Lehet, hogy vannak olyan szolgáltatások, amelyek ilyen szolgáltatásokat nyújtanak. Ha nincsenek, akkor nyilvánvalóan hamarosan meg fognak jelenni, figyelembe véve a webhelyek néhány víruskereső adatbázisba való felvételének egyszerűségét.
Szeretném hallani a Kaspersky képviselőinek véleményét. Ugyanakkor szeretném hallani azok véleményét is, akik maguk is szembesültek ezzel a problémával, és hogy gyorsan megoldódott-e. Lehet, hogy valaki javasol jogi beavatkozási módszereket az ilyen helyzetekben. Számunkra a helyzet reputációs és anyagi veszteségeket okozott, nem is beszélve az időveszteségről a probléma megoldására.
Szeretném, ha minél több figyelmet irányítanánk a helyzetre, mivel bármely webhely veszélyeztetett.
Kiegészítés.
A hozzászólásokban linket adtak egy érdekes bejegyzéshez a HerrDirektortól erről a problémáról. Idézném őt
Még többet elmondok — szeretnétek 10 perc alatt problémákat okozni szinte bármelyik webhelynek (kivéve a nagy, vastag és nagyon ismert webhelyek)?
Üdvözöljük a phishtankon.
Regisztrálunk 8-10 fiókot (csak e-mail szükséges a megerősítéshez), választunk egy tetszőleges webhelyet, és az egyik fiókból hozzáadjuk a phishtank adatbázisához (hogy megnehezítsük az oldal tulajdonosának életét, a hozzáadási űrlapba belerakhatunk egy hirdetést, amely gésákra vonatkozik).
A megmaradt fiókokkal szavazunk a phishingre, amíg nem kapunk egy üzenetet: „Ez egy phish webhely!”
Kész. Ülünk és várunk. Bár a siker megerősítése érdekében hozzáadhatunk http:// és https:// elérhetőségeket, valamint a végén perjellel és anélkül, vagy két perjellel. Ha egyáltalán sok időnk van, a webhelyre is további linkeket adhatunk hozzá. Miért? Nos, nézd meg:6-12 órán belül az Avast behúzza onnan az adatokat. 24-48 óra elteltével az adatok szétszóródnak a legkülönbözőbb „víruskeresőkben” — Comodo, Bit Defender, Clean MX, CRDF, CyRadar… Ahonnan a fránya virustotal később bányássza az adatokat.
Természetesen NIKKI SEM ellenőrzi az adatok hitelességét, senkit nem érdekel.Ennek eredményeként a legtöbb „víruskereső” böngészőbővítmény, ingyenes víruskeresők és más szoftverek különféle módokon kezdenek el tiltakozni a megadott webhely ellen, a piros tábláktól kezdve a teljes oldalakig, amelyek azt hirdetik, hogy az oldal rendkívül veszélyes, és oda lépni halálos dolog.
Ahhoz, hogy ezeket az Augeiás istállókat rendbe hozzuk, minden egyes "antivírusnak" írni kell a támogatásnak. MINDEN egyes linkhez! Az Avast viszonylag gyorsan reagál, a többiek pedig egyszerűen csak felhalmozzák a meglévő adatokat.
De még ha a csillagok is összeállnak, és sikerül kitisztítani a weboldalt az antivírus adatbázisaiból, akkor a "mega-forrás" virustotal ezt egyáltalán nem érdekli. Nincs ott a phishtank-ban? Hát kit érdekel, valamikor voltál, mutatni fogjuk, hogy voltál. Nincs ott a Bitdefenderben? Nem probléma, mindenképp megmutatjuk, hogy voltál.
Ennek megfelelően bármely szoftver vagy szolgáltatás, amely a virustotal-ra támaszkodik, örökké azt fogja mutatni, hogy a weboldalon minden rossz. Hosszú ideig és kitartóan lehet ütlegelni ezt a pocsék forrást, és talán szerencsénk lesz, hogy onnan kiszabaduljunk. De az is lehet, hogy nem szerencsénk van.
* A weboldalt blokkolók között még a fortinet szolgáltató is szerepel. És még mindig nem tudtuk eltávolítani a weboldalt néhány phishing lista közül.
* Ez az első posztom a Habrán. Sajnos korábban csak olvasó voltam, de a jelenlegi helyzet motivált, hogy írjak egy posztot.
Forrás: habr.com
