Recentemente ci siamo trovati in una situazione in cui vari antivirus (Kaspersky, Quttera, McAfee, Norton Safe Web, Bitdefender e alcuni meno noti) hanno cominciato a bloccare il nostro sito. L'analisi della situazione mi ha portato a capire che finire nella lista di blocco è estremamente semplice, basta alcune segnalazioni (anche senza giustificazione). Descriverò il problema più in dettaglio in seguito.
Il problema è piuttosto serio, poiché quasi ogni utente ha installato un antivirus o un firewall. E il blocco di un sito da parte di un grande antivirus come Kaspersky può renderlo inaccessibile a molti utenti. Vorrei attirare l'attenzione della comunità su questo problema, poiché apre enormi possibilità per metodi scorretti di competizione.
Non fornirò il link del sito né indicherò l'azienda, affinché non venga percepito come una forma di promozione. Posso solo dire che il sito opera in conformità con la legge, l'azienda è registrata commercialmente e tutte le informazioni sono disponibili sul sito.
Recentemente abbiamo ricevuto lamentele dai clienti riguardo al fatto che il nostro sito fosse bloccato dall'antivirus Kaspersky come phishing. Numerosi controlli da parte nostra non hanno rivelato alcun problema sul sito. Ho presentato una richiesta tramite il modulo sul sito di Kaspersky per un falso allerta dell'antivirus. Di conseguenza, abbiamo ricevuto la seguente risposta:
Abbiamo verificato il link che ci hai inviato.
Le informazioni presenti nel link rappresentano una minaccia per la perdita di dati degli utenti, non è stata confermata alcuna falsa allerta.
Non sono state fornite conferme che il sito rappresenti una minaccia. Nel corso di ulteriori comunicazioni abbiamo ricevuto la seguente risposta:
Abbiamo verificato il link che ci hai inviato.
Questo un dominio è stato aggiunto al database a causa delle segnalazioni degli utenti. Il link sarà escluso dai database antifishing, ma sarà monitorato nel caso di ulteriori segnalazioni.
Da ciò diventa chiaro che la presenza di qualsiasi lamentela è sufficiente per giustificare il blocco. Presumibilmente, il sito viene bloccato se ci sono state più di un certo numero di lamentele, e non è necessaria alcuna conferma della lamentela.
Nel nostro caso, gli attaccanti hanno inviato una serie di segnalazioni. Sia al nostro centro dati, sia a vari antivirus, e a servizi come phishtank. Su phishtank, le segnalazioni includevano solo il link al sito e l'indicazione che il sito era di phishing. E basta, non sono state fornite ulteriori conferme.
Si può quindi bloccare siti indesiderati semplicemente tramite segnalazioni spam. Potrebbero anche esistere servizi che offrono tali servizi. Se non ci sono, di certo appariranno presto, considerando la facilità di inserire un sito in alcune banche dati di antivirus.
Vorrei ascoltare commenti da parte dei rappresentanti di Kaspersky. Inoltre, vorrei sentire pareri da chi ha affrontato un problema simile e quanto rapidamente è stato risolto. Forse qualcuno potrebbe suggerire metodi legali di intervento in tali situazioni. Per noi, la situazione ha comportato perdite reputazionali e finanziarie, senza contare il tempo perso per risolvere il problema.
Vorrei attirare quanta più attenzione possibile sulla situazione, dato che ogni sito è a rischio.
Integrazione.
Nei commenti è stato fornito un link a un interessante post di HerrDirektor riguardante questo problema. Lo cito.
Vi racconterò di più: volete creare problemi a quasi qualsiasi sito web in soli 10 minuti (tranne quelli grandi, noti e molto famosi)?
Benvenuti su phishtank.
Registriamo 8-10 account (è necessario solo un email per la conferma), scegliamo un sito che ci piace, aggiungiamo il sito dal nostro account al database di phishtank (per complicare la vita al proprietario, si può inserire un'email pubblicitaria con contenuti pornografici con nani nel modulo di aggiunta).
Con gli account rimanenti votiamo per il phishing, fino a quando non riceviamo il messaggio 'This is phish site!'.
Fatto. Adesso aspettiamo. Anche se per consolidare il successo, è possibile aggiungere sia http:// che https://, con o senza barra finale, o con due barre. E se avete davvero tempo, potete anche aggiungere collegamenti sul sito. Perché? Ecco il motivo:Dopo 6-12 ore, Avast raccoglie i dati. Dopo 24-48 ore, i dati si diffondono a vari 'antivirus' — comodo, bit defender, clean mx, CRDF, CyRadar… Da dove poi il dannato virustotal prende i dati.
Certo, NESSUNO verifica l'accuratezza dei dati, a tutti non importa affatto.E come risultato, la maggior parte delle estensioni «antivirus» per browser, antivirus gratuiti e altro software inizia a segnalare il sito in vari modi, da avvisi rossi a vere e proprie pagine che proclamano quanto sia pericoloso il sito e che andare lì è come una questione di vita o di morte.
E per sistemare questi disastri, ciascuno di questi «antivirus» deve contattare il supporto tecnico. Per OGNI link! Avast risponde piuttosto rapidamente, gli altri semplicemente accumulano le segnalazioni.
Ma anche se le stelle si allineano e riesci a rimuovere il sito dai database degli antivirus, il «mega-risorsa» virustotal non si preoccupa affatto. Non sei nel database di phishtank? Non importa, qualche volta eri lì, continueremo a mostrare che ci sei. Non sei in bit defender? Non è un problema, mostreremo comunque che c'eri.
Di conseguenza, qualsiasi software o servizio che si basa su virustotal mostrerà per sempre che il sito presenta problemi. Puoi continuare a colpire incessantemente questa risorsa pessima e forse avrai fortuna a uscirne. Ma potrebbe anche non andare bene.
* Tra coloro che bloccano il sito c'è anche il provider fortinet. E non siamo ancora riusciti a rimuovere il sito da alcune liste di siti di phishing.
* Questo è il mio primo post su Habra. Sfortunatamente, in passato ero solo un lettore, ma la situazione attuale mi ha motivato a scrivere un post.
Fonte: habr.com
