Nedávno sme sa stretli so situáciou, keď niekoľko antivírusov (Kaspersky, Quttera, McAfee, Norton Safe Web, Bitdefender a niekoľko menej známych) začalo blokovať našu stránku. Preskúmanie tejto situácie ma priviedlo k pochopeniu, že je veľmi jednoduché dostať sa na čiernu listinu, stačí niekoľko sťažností (aj bez odôvodnenia). Problém podrobnejšie opíšem nižšie.
Problém je dosť vážny, pretože takmer každý používateľ má teraz nainštalovaný antivírus alebo firewall. Blokovanie stránky veľkým antivírusom, ako je Kaspersky, môže sprístupniť stránku pre veľké množstvo používateľov. Chcel by som pritiahnuť pozornosť komunity na tento problém, pretože otvára obrovský priestor pre neférové metódy boja s konkurenciou.
Nezverejním odkaz na samotnú stránku ani nebudem uvádzať spoločnosť, aby to nebolo vnímané ako nejaká reklama. Uvediem len to, že stránka funguje v súlade so zákonom, firma má obchodnú registráciu, všetky údaje sú uvedené na stránke.
Nedávno sme sa stretli sťažnosťami od klientov, že náš web je blokovaný antivírusom Kaspersky ako phishingový. Rôzne kontroly z našej strany nevykázali žiadne problémy na stránke. Podal som žiadosť prostredníctvom formulára na stránke Kaspersky o falošnom pozitívnom výsledku antivírusu. Výsledkom bola táto odpoveď:
Skontrolovali sme odkaz, ktorý ste poslali.
Informácie z odkazu predstavujú hrozbu pre stratu používateľských údajov, falošné pozitívum nebolo potvrdené.
Neboli poskytnuté žiadne potvrdenia, že stránka predstavuje hrozbu. Pri ďalších podaniach sme dostali nasledujúcu odpoveď:
Skontrolovali sme odkaz, ktorý ste poslali.
Tento domény bol pridaný do databázy na základe sťažností používateľov. Odkaz bude vylúčený z antiphishingových databáz, ale bude zahájený monitoring na prípadné opakované sťažnosti.
Z toho je jasné, že dostatočným dôvodom na blokovanie je samotná existencia akýchkoľvek sťažností. Predpokladá sa, že stránka je blokovaná, ak bolo viac ako nejaké množstvo sťažností, a nie je potrebné žiadne potvrdenie sťažnosti.
V našom prípade útočníci poslali sériu sťažností. Nášmu dc, niekoľkým antivírusom a takýmto službám ako phishtank. Na phishtank sťažnosti obsahovali iba odkaz na stránku a označenie, že stránka je phishingová. A to je všetko, žiadne potvrdenia neboli poskytnuté.
Vyplýva to, že je možné blokovať neželané stránky prostým spamom sťažností. Možno existujú aj služby, ktoré poskytujú takéto služby. Ak ich nie je, určite sa čoskoro objavia, keď zoberieme do úvahy jednoduchosť zaradenia stránky do databáz niektorých antivírusov.
Chcel by som počuť komentáre od zástupcov Kaspersky. Tiež by ma zaujímali komentáre od tých, ktorí sa s takýmto problémom stretli a ako rýchlo ho vyriešili. Možno niekto odporučí právne metódy, ako zasiahnuť v takýchto situáciách. Pre nás táto situácia znamenala reputačné a finančné straty, nehovoriac o strate času na riešenie problému.
Rád by som pritiahlo čo najviac pozornosti k situácii, pretože každá stránka je v rizikovej skupine.
Dodatok.
V komentároch sa objavila zaujímavá správa od HerrDirektor. k tejto problematike. Citujem ho.
Poviem vám viac — chcete za 10 minút vytvoriť problémy skoro akémukoľvek webu (okrem veľkých, známych a veľmi známych)?
Vitajte na phishtank.
Registrovaniu 8-10 účtov (bude potrebná iba e-mailová adresa na potvrdenie), vyberieme si obľúbenú stránku, pridáme ju z jedného účtu do databázy phishtank (pre skomplikovanie života majiteľovi môžeme pridať do formulára nejaký inzerát na gay pornografiu s trpaslíkmi).
Zvyšnými účtami hlasujeme za phishing, kým nám nenapíšu „Toto je phishingová stránka!“.
Hotovo. Sedíme a čakáme. Hoci pre upevnenie úspechu môžem pridať aj http:// a https://, a so / na konci aj bez /, alebo s dvoma /. A ak je naozaj veľa času, tak ešte aj odkazy môžem na stránke pridať. Prečo? A prečo:Po 6-12 hodinách sa stiahne Avast a zoberie odtiaľto dáta. Po 24-48 hodinách sa údaje rozšíria po všetkých možných „antivírusoch“ — comodo, bit defender, clean mx, CRDF, CyRadar… Odtiaľ potom berie údaje ten zasran virustotal.
Samozrejme, NIKTO nekontroluje pravdivosť údajov, všetkým je to hlboko jedno.A ako výsledok, väčšina "antivírusových" rozšírení pre prehliadače, bezplatných antivírusov a iného softvéru začína s uvedenou stránkou nesúhlasiť rôznymi spôsobmi, od červených tabuliek až po plnohodnotné stránky, ktoré varujú, že stránka je nebezpečná a prechádzať na ňu znamená smrť.
A aby sme si poradili s týmito Augiášovými stajňami, musíme písať každej z týchto "antivírusových" služieb do technickej podpory. Na KAŽDÚ z odkazov! Avast reaguje pomerne rýchlo, ostatné jednoducho ignorujú spoločnosti.
Ale aj keď sa zhodujú hviezdy a podarí sa vyčistiť stránku z databáz antivírusov, "mega-zdroj" virustotal to vôbec nezaujíma. Nie si v databáze phishtank? To je jedno, kedysi si tam bol, budeme ukazovať, že si tam bol. Nie si v bit defender? Nevadí, aj tak ukážeme, že si tam bol.
Podľa toho, akýkoľvek softvér alebo služba, ktorá sa orientuje na virustotal, bude do konca vekov ukazovať, že na stránke je všetko zlé. Môžeš dlhodobo a systematicky útočiť na tento biedny zdroj a možno máš šťastie z neho vyjsť. Ale možno aj nemáš šťastie.
* Medzi tými, ktorí blokujú stránku, sa dokonca nachádza poskytovateľ fortinet. A my sme zatiaľ nevyviedli stránku z niektorých zoznamov falošných stránok.
* Toto je môj prvý príspevok na Habr. Bohužiaľ, predtým som bol len čitateľom, ale súčasná situácia ma motivovala napísať príspevok.
Zdroj: habr.com
