Nedavno smo se suočili sa situacijom kada su neki antivirusni programi (Kaspersky, Quttera, McAfee, Norton Safe Web, Bitdefender i nekoliko manje poznatih) počeli blokirati naš sajt. Istraživanje situacije dovelo me je do razumevanja da je veoma lako završiti na listi blokiranih, dovoljno je nekoliko prijava (čak i bez obrazloženja). Detaljnije ću opisati problem u nastavku.
Problem je prilično ozbiljan, jer skoro svaki korisnik danas ima instaliran antivirus ili vatrozid. Blokada sajta od strane velikog antivirusa kao što je Kaspersky može učiniti sajt nedostupnim za veliki broj korisnika. Hteli bismo da skrenemo pažnju javnosti na ovaj problem, jer otvara ogromne mogućnosti za prljave metode borbe sa konkurencijom.
Neću dati link ka samom sajtu ili navoditi firmu, kako to ne bi bilo shvaćeno kao neka vrsta reklame. Napomenuću samo da sajt posluje u skladu sa zakonom, firma ima komercijalnu registraciju, a svi podaci su dostupni na sajtu.
Nedavno smo primili pritužbe od klijenata da naš sajt blokira antivirus Kaspersky kao phishing. Višestruka testiranja s naše strane nisu otkrila nikakve probleme na sajtu. Podnio sam zahtev putem obrasca na sajtu Kaspersky-a za lažno pozitivno delovanje antivirusa. Kao rezultat toga, dobijen je odgovor:
Proverili smo link koji ste poslali.
Informacije na linku predstavljaju pretnju gubitku korisničkih podataka, lažno pozitivno delovanje nije potvrđeno.
Nije dato nikakvih potvrda da sajt predstavlja pretnju. U daljim zapažanjima dobijen je sledeći odgovor:
Proverili smo link koji ste poslali.
Ovaj domena je dodat u bazu zbog prijava korisnika. Link će biti isključen iz antiphishing baza, ali će biti uključen monitoring u slučaju ponovljenih prijava.
Odavde postaje jasno da je dovoljna osnova za blokadu sam podatak o postojanju bilo kakvih prijava. Pretpostavlja se da se sajt blokira ako je bilo više od određenog broja prijava, a nikakvo potvrđivanje prijave nije potrebno.
U našem slučaju, zlonamerni korisnici su poslali niz prijava. I našem DC-u, i nekolicini antivirusnih programa, kao i servisima poput phishtank. Na phishtank-u, prijave su uključivale samo link ka sajtu i informaciju da je sajt phishing. I to je to, nikakve potvrde nisu date.
Izgleda da je moguće blokirati neželjene sajtove jednostavnim spamom pritužbi. Možda čak postoje i usluge koje nude ovakve usluge. Ako ih nema, sigurno će se uskoro pojaviti, s obzirom na jednostavnost dodavanja sajta u baze nekih antivirusnih programa.
Želeo bih da čujem komentare predstavnika Kasperskog. Takođe, želeo bih da čujem komentare onih koji su se sami suočili sa ovakvim problemom i koliko je brzo rešeno. Možda bi neko mogao da preporuči pravne metode delovanja u ovakvim situacijama. Za nas je situacija dovela do reputacionih i finansijskih gubitaka, da ne spominjem gubitak vremena na rešavanje problema.
Želeo bih da privučem što više pažnje na situaciju, jer svaki sajt je u riziku.
Dopuna.
U komentarima su dali link na zanimljiv post od HerrDirektora. o ovom problemu. Citiraću ga.
Reći ću vam više — da li želite da za 10 minuta stvorite probleme skoro bilo kom sajtu (osim velikih, poznatih i veoma poznatih)?
Dobrodošli na phishtank.
Registrujemo 8-10 naloga (biće potrebna samo email adresa za potvrdu), biramo sajt koji nam se sviđa, dodajemo ga iz jednog naloga u bazu phishtanka (da bismo otežali život vlasniku, možemo u obrazac za dodavanje staviti neku poruku sa reklamom gej-pornografije sa patuljcima).
Preostalim nalozima glasamo za phishing, dok nam ne poruče "This is phish site!".
Gotovo. Sedećemo i čekati. Iako, za dodatno osiguranje uspeha, možemo dodati i http:// i https:// i sa i bez kose crte na kraju, ili sa dve kose crte. A ako imamo puno vremena, možemo dodati i linkove na sajtu. Zašto? Pa, evo zašto:Za 6-12 sati Avast se aktivira i uzima podatke odatle. Za 24-48 sati podaci se šire po raznim "antivirusima" — comodo, bit defender, clean mx, CRDF, CyRadar… Odakle kasnije povlači podatke prokleti virustotal.
Naravno, NIKO ne proverava tačnost podataka, svima je duboko svejedno.I kao rezultat, većina "antivirusnih" ekstenzija za pretraživače, besplatnih antivirusnih programa i drugog softvera počinje da se žali na navedeni sajt na razne načine, od crvenih oznaka, do celih stranica koje tvrde da je sajt izuzetno opasan i da bi prelazak na njega mogao da bude smrtonosan.
In order to tackle these Augean stables, each of these antivirus programs has to write to technical support. For EACH link! Avast responds quite quickly, while the others simply compile a known list.
But even if the stars align and it's possible to clean the site from antivirus databases, the 'mega-resource' virustotal simply doesn't care. Not in the phishtank database? No big deal, you were there at some point, we'll show what we have. Not in bit defender? No worries, we'll still show that you were.
Consequently, any software or service relying on virustotal will perpetually indicate that the site is in bad shape. One can hammer away at this miserable resource for a long time and maybe get lucky and escape it. But it’s just as likely that luck won’t be on your side.
* Among those blocking the site is even the provider fortinet. And we have still not removed the site from some phishing site lists.
* This is my first post on Habrahabr. Unfortunately, I was just a reader before, but the current situation motivated me to write a post.
Izvor: habr.com
