Recentemente ci siamo trovati di fronte a una situazione in cui diversi antivirus (Kaspersky, Quttera, McAfee, Norton Safe Web, Bitdefender e alcuni meno conosciuti) hanno iniziato a bloccare il nostro sito. L'analisi della situazione mi ha portato a capire che ottenere un'inclusione nella lista di blocco è estremamente facile, basta qualche segnalazione (anche senza giustificazione). Descriverò più nel dettaglio il problema in seguito.
Il problema è piuttosto serio, dato che quasi ogni utente ha installato un antivirus o un firewall. E il blocco del sito da parte di un grande antivirus come Kaspersky può rendere il sito inaccessibile a un gran numero di utenti. Vorrei attirare l'attenzione della comunità sul problema, poiché apre enormi margini per metodi scorretti di competizione.
Non fornirò il link al sito né nominerò l'azienda, per evitare che venga percepito come una sorta di pubblicità. Indicherò solo che il sito opera nel rispetto della legge, l'azienda ha registrazione commerciale e tutti i dati sono forniti sul sito.
Di recente abbiamo ricevuto segnalazioni da parte dei clienti che il nostro sito viene bloccato dall'antivirus Kaspersky come phishing. Molti controlli da parte nostra non hanno evidenziato alcun problema sul sito. Ho inviato una segnalazione tramite il modulo sul sito di Kaspersky riguardo a un falso positivo dell'antivirus. In risposta, ho ricevuto:
Abbiamo controllato il link che ci ha inviato.
Le informazioni sul link rappresentano una minaccia per la perdita di dati degli utenti, il falso positivo non è stato confermato.
Non ci sono state conferme che il sito rappresenti una minaccia. In seguito a ulteriori contatti, abbiamo ricevuto la seguente risposta:
Abbiamo controllato il link che ci ha inviato.
Questo dominio è stato aggiunto al database a causa di segnalazioni degli utenti. Il link sarà escluso dai database anti-phishing, ma sarà attivato un monitoraggio nel caso di segnalazioni ripetute.
Da qui diventa chiaro che la sola esistenza di segnalazioni è già una ragione sufficiente per il blocco. Presumibilmente, il sito viene bloccato se ci sono state più di un certo numero di segnalazioni, e non è richiesta alcuna conferma della segnalazione.
Nel nostro caso, i malintenzionati hanno inviato diverse segnalazioni. Al nostro DC, a vari antivirus e a servizi come phishtank. Su phishtank, le segnalazioni includevano solo il link al sito e l'indicazione che il sito fosse di phishing. E tutto qui, non sono state fornite conferme.
Si può quindi bloccare siti indesiderati semplicemente con uno spam di segnalazioni. È possibile che esistano anche servizi che offrono tali prestazioni. Se non ci sono, sicuramente appariranno presto, considerando la facilità con cui si può inserire un sito nelle liste di alcuni antivirus.
Mi piacerebbe sentire i commenti dei rappresentanti di Kaspersky. Vorrei anche ascoltare i pareri di chi ha affrontato personalmente questo problema e quanto rapidamente è stato risolto. Forse qualcuno può consigliare metodi legali per agire in queste situazioni. Per noi, la situazione ha comportato perdite reputazionali e monetarie, senza contare il tempo perso nella risoluzione del problema.
Vorrei attirare quanta più attenzione possibile sulla situazione, poiché qualsiasi sito è a rischio.
Integrazione.
Nei commenti è stato fornito un link a un post interessante di HerrDirektor sul problema. Lo citerò
Vi racconto di più: volete creare problemi a quasi qualsiasi sito in 10 minuti (a parte quelli grandi, grassi e molto conosciuti)?
Benvenuti su phishtank.
Registriamo 8-10 account (serve solo un'email per la conferma), scegliamo il sito che ci piace, lo aggiungiamo con un account alla banca dati di Phishtank (per complicare la vita al proprietario, si può anche inserire un'email con pubblicità di porno gay con nani nel modulo di aggiunta).
Con gli account rimanenti votiamo per il phishing, finché non ci scrivono "This is phish site!".
Fatto. Stiamo in attesa. Anche se per consolidare il successo, si possono aggiungere anche http:// e https://, con o senza slash alla fine, o con due slash. E se si ha molto tempo, si possono anche aggiungere link sul sito. Perché? Ecco perché:Dopo 6-12 ore, Avast lo raccoglie e prende dati da lì. Dopo 24-48 ore, i dati si diffondono tra vari "antivirus" — comodo, bit defender, clean mx, CRDF, CyRadar... Da dove il dannato virustotal poi trae i dati.
Ovviamente, NESSUNO verifica l'accuratezza dei dati, a tutti non importa affatto.E come risultato, la maggior parte delle estensioni "antivirus" per i browser, degli antivirus gratuiti e di altro software inizia a segnalare il sito in vari modi, da cartelli rossi a pagine intere che annunciano quanto il sito sia pericoloso e che visitarvi è come andare a morte certa.
E per dissotterrare queste stalle augie, ognuno di questi "antivirus" deve scrivere al supporto tecnico. Per OGNI link! Avast risponde abbastanza rapidamente, gli altri semplicemente accumulano il noto organo.
Ma anche se le stelle si allineano e si riesce a ripulire il sito dalle banche dati degli antivirus, il "mega-serve" virustotal non se ne preoccupa affatto. Non sei nella banca dati di phishtank? Non importa, c'eri prima, mostreremo ciò che c'è. Non sei in bit defender? Nessun problema, mostreremo comunque che c'eri.
Di conseguenza, qualsiasi software o servizio che si basa su virustotal mostrerà per sempre che il sito è in cattive condizioni. Puoi martellare a lungo e con metodo questa risorsa scadente e forse avrai fortuna nel liberarti. Ma potrebbe anche non andare bene.
* Tra coloro che bloccano il sito c'è persino il provider fortinet. E finora non siamo ancora riusciti a rimuovere il sito da alcune liste di siti di phishing.
* Questo è il mio primo post su Habr. Purtroppo, prima ero solo un lettore, ma la situazione attuale mi ha motivato a scrivere un post.
Fonte: habr.com
