Onlangs stonden we voor een situatie waarin verschillende antivirusprogramma's (Kaspersky, Quttera, McAfee, Norton Safe Web, Bitdefender en enkele minder bekende) zijn begonnen met het blokkeren van onze website. Het onderzoeken van deze situatie heeft me doen inzien dat het extreem eenvoudig is om op de blokkadelijst te komen, het volstaat om een paar klachten in te dienen (zelfs zonder onderbouwing). Ik zal het probleem verderop uitgebreider beschrijven.
Het probleem is behoorlijk serieus, aangezien bijna elke gebruiker nu een antivirus of firewall heeft geĆÆnstalleerd. En de blokkering van een site door een grote antivirus zoals Kaspersky kan ervoor zorgen dat de site onbereikbaar wordt voor een groot aantal gebruikers. Ik zou graag de aandacht van de gemeenschap op dit probleem willen vestigen, omdat het enorme mogelijkheden biedt voor vuile concurrentiemethoden.
Ik zal geen link naar de site geven of het bedrijf vermelden, zodat dit niet als enige vorm van reclame wordt gezien. Ik zal alleen vermelden dat de site legaal opereert, het bedrijf geregistreerd is en alle gegevens op de site beschikbaar zijn.
Onlangs kregen we klachten van klanten dat onze site door het antivirus van Kaspersky als phishing wordt geblokkeerd. Meerdere controles van onze kant hebben geen problemen op de site aangetoond. Ik heb een melding ingediend via het formulier op de website van Kaspersky over een vals alarm van het antivirus. Als resultaat ontvingen we het volgende antwoord:
We hebben de link die u heeft gestuurd gecontroleerd.
De informatie op de link vormt een bedreiging voor het verlies van gebruikersgegevens, vals alarm is niet bevestigd.
Er zijn geen bevestigingen gegeven dat de site een bedreiging vormt. Tijdens verdere communicatie ontvingen we het volgende antwoord:
We hebben de link die u heeft gestuurd gecontroleerd.
Deze domein is aan de database toegevoegd vanwege gebruikersklachten. De link zal worden uitgesloten van de anti-phishing databases, maar er zal monitoring plaatsvinden voor het geval er opnieuw klachten binnenkomen.
Hieruit blijkt dat een voldoende reden voor blokkering het feit is dat er zelfs maar enige klachten zijn. Naar alle waarschijnlijkheid wordt de site geblokkeerd als er meer dan een bepaald aantal klachten zijn, en enige bevestiging van de klacht is niet vereist.
In ons geval hebben kwaadwillenden diverse klachten ingediend. Zowel bij ons datacentrum, als bij verschillende antivirusprogramma's, en op diensten zoals phishtank. Op phishtank bevatten de klachten alleen een link naar de site en de vermelding dat de site phishing zou zijn. En verder, er zijn geen bevestigingen gegeven.
Het is mogelijk om ongewenste sites te blokkeren met simpelweg spamklachten. Er zijn misschien zelfs diensten die dergelijke services aanbieden. Als die er nog niet zijn, zullen ze duidelijk snel verschijnen, gezien de eenvoud om een site aan de databases van sommige antivirusprogramma's toe te voegen.
Ik hoor graag commentaar van vertegenwoordigers van Kaspersky. Ook zou ik graag reacties willen horen van degenen die met dit probleem te maken hebben gehad en hoe snel het is opgelost. Misschien kan iemand juridische methoden aanbevelen voor zulke situaties. Voor ons heeft de situatie geleid tot reputatie- en financiƫle verliezen, om nog maar te zwijgen van de tijd die verloren is gegaan met het oplossen van het probleem.
Ik zou zoveel mogelijk aandacht voor de situatie willen trekken, aangezien elke website in de risicogroep zit.
Aanvulling.
In de reacties werd een interessante post van HerrDirektor genoemd. over dit probleem. Ik zal hem citeren.
Ik zal je meer vertellen ā wil je in 10 minuten problemen creĆ«ren voor bijna elke site (behalve voor de grote, dikkere en zeer bekende)?
Welkom op phishtank.
We registreren 8-10 accounts (je hebt alleen een e-mail nodig voor bevestiging), kiezen de site die we leuk vinden, voegen deze toe aan de phishtank-database vanaf Ć©Ć©n account (om het leven van de eigenaar moeilijker te maken, kun je in het invoerveld een of ander e-mailadvertentie voor gayporno met dwergen stoppen).
Met de resterende accounts stemmen we voor phishing, totdat ze ons schrijven 'This is a phish site!'.
Klaar. We wachten en zitten. Hoewel, om het succes te bevestigen, kunnen we ook http:// en https:// toevoegen, met een slash aan het eind of zonder slash, of met twee slashes. En als we echt veel tijd hebben, kunnen we ook links op de site toevoegen. Waarom? Wel, hierom:Na 6-12 uur komt Avast binnen en neemt de gegevens daar vandaan. Binnen 24-48 uur verspreiden de gegevens zich over allerlei 'antivirusprogramma's' ā comodo, bit defender, clean mx, CRDF, CyRadar... Waarvandaan de verdomde virustotal zijn gegevens haalt.
Natuurlijk controleert NIEMAND de betrouwbaarheid van de gegevens, niemand geeft er een klap om.En als resultaat begint het merendeel van de 'antivirus' extensies voor browsers, gratis antivirussoftware en andere programma's op de aangegeven site op allerlei manieren kritiek te leveren, van rode bordjes tot complete pagina's die beweren dat de site extreem gevaarlijk is en het dodelijk is om daarheen te gaan.
En om deze Augias-stallen op te ruimen, moet iedereen van deze 'antivirussen' de technische ondersteuning om hulp vragen. Voor ELKE link! Avast reageert vrij snel, de anderen negeren simpelweg de bekende organisatie.
Maar zelfs als de sterren op Ć©Ć©n lijn komen en het lukt om de website uit de antivirusdatabases te krijgen, dan maakt de 'mega-resource' virustotal dat helemaal niets uit. Sta je niet in de phishtank-database? Geen probleem, je was er ooit, we blijven tonen wat er is. Sta je niet in bit defender? Geen zorgen, we laten sowieso zien dat je er ooit was.
Bijgevolg zal elke software of dienst die op virustotal is gericht, tot in de eeuwigheid blijven aangeven dat er iets mis is met de website. Je kunt eindeloos deze arme bron bekritiseren en misschien heb je geluk en weet je daarop weg te komen. Maar misschien heb je ook geen geluk.
* Onder degenen die de website blokkeren, bevond zich zelfs de provider fortinet. En we hebben de website nog steeds niet uit sommige phishinglijsten kunnen halen.
* Dit is mijn eerste post op Habra. Helaas was ik eerder gewoon een lezer, maar de huidige situatie heeft me gemotiveerd om deze post te schrijven.
Bron: habr.com
