Newsgroup: it.comp.sicurezza.varie
Titolo: Sito bloccato da Kaspersky

Volevo scaricare per prova un sw di Computo Metrico e avevo trovato 
Leeno che è presente in questo sito
 
http:==
leeno.org/
 
 
Ma kaspersky me lo blocca perchè presente nei suoi database.
 
Qualcuno con altro antivirus può provare?


Non è l'unico!
 
https://www.virustotal.com/gui/url/3dbc64d9312af29cf4aa65a3d75d8dbb9ea443ac7c473b9fff3e7b1157e26790/detection
 
 
Un motivo ci sarà, mi pare strano che altrimenti i maggiori firewall lo blocchino.
Prova a contattare Kaspersky e chiedi :-)

Rispondo qui sotto a Gabriele - onenet

Accidenti!
 
Grazie, dimentico sempre che virustotal fa un sacco di cosette 
utilissime oltre a verificare i files.

:: On Wed, 20 Mar 2019 12:51:47 +0100
:: (it.comp.sicurezza.varie)
:: <mn.a3037e3388...@LeTreDiNotteVirgilio.it>

Così ad occhio, direi che il server di leeno possa essere stato bucato
(oggi o di recente) ed utilizzato per phishing o altro, e per tale
motivo, lo stesso viene considerato "pericoloso" da quegli AV; ho dato
un'occhiata veloce al sito e non mi sembra ci sia nulla di strano, ma
se per caso il software che vuoi scaricare risiede sullo stesso, direi
che sarebbe il caso, come minimo, di far passare il sw su virustotal
e/o installarlo su una VM per verificare che sia pulito
 
 
 
 
 
 


Vai tranquillo:
https://i.postimg.cc/bJ1b6DDG/Immagine.jpg
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Tutto il futuro è racchiuso nella sacra sillaba "bo!".
#v-
 
 

 
 
Cosa c'entra che il certificato sia valido col fatto che probabilmente il sito 
ospita(sse) phishing e/o malware?

 
 
Quindi un certificato SSL garantisce la sicurezza dei contenuti
di un sito?
 
 
 

 il sito ospita(sse) phishing e/o malware?
 
Hai letto bene cosa ha chiesto l'OP?
 
Kaspersky gli blocca il sito che invece viene validato da Calomel.
Quindi del sito puň fidarsi, poi quello che scarica č *ovvio* che se lo
deve far validare da Virustotal, ma questo lui lo sa benissimo, non devo
dirglielo io. :-P
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-deus ex machina-
#v-
 
 

 Quindi del sito può fidarsi, 
 
ma di preciso cosa valida questo calomel (che non conosco)?

 
 
Se il sito non fosse bloccato da Kaspersky e altri (tipo Fortinet), non avrebbe 
avuto questo dubbio e neanche bisogno di verificare i file scaricati, non ti pare?
 
 
ciao
Gabriele

 e/o installarlo su una VM per verificare che sia pulito
 
Molto facile che il server sia stato bucato.
 
Propone un sw opensource di computo metrico per geometri e architetti, 
sviluppato da Leeno stesso su base OpenOffice  o LibreOffice e 
ovviamente risiede sul proprio sito.
Volevo controllare come funzionano questi "spreadsheet" allargati, ma 
ho rinunciato.

"rootkit" [by Pan/0.145 (Duplicitous mercenary valetism; d7e168a

https://calomel.org
 valida il grado di sicurezza del certificato SSL, in
tal senso garantisce il sito.
 
È un componente aggiuntivo del browser, io lo uso su Firefox, per me vale
la "fatica" d'installarlo. :-)
-- 
    * b *
  *   y   *
*   Piero   *
#v+
M'hanno regalato un libro, ma si sono dimenticati del software.
#v-
 
 

 Gabriele
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Assolto perché il fatto non costituisce dibattito.
#v-
 
 

 ti chiedo cosa si debba fare per navigare con un po' di tranquillità.
 
Se un webserver viene "bucato", il certificato può tranquillamente
rimanere valido, solo che poi, non si sa cosa sia stato installato sul
server o cosa sia stato modificato; il fatto che il certificato SSL sia
valido non fornisce alcuna garanzia sul fatto che il sito sia "pulito",
stai facendo il classico confronto tra mele ed arance :)
 
 


Ho capito, ma resta senza risposta la mia domanda che hai citato. :-)
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-do ut des-
#v-
 

 
 
Non c'è nessun legame tra il certificato SSL ed il materiale presente 
nel sito che lo espone.
 
https://tools.ietf.org/html/rfc6101
 
 
[cit]
This document specifies version 3.0 of the Secure Sockets Layer (SSL
    3.0) protocol, a security protocol that provides communications
    privacy over the Internet.  The protocol allows client/server
    applications to communicate in a way that is designed to prevent
    eavesdropping, tampering, or message forgery.
[/cit]
 
Significa:
"Questo documento specifica la versione 3.0 di Secure Sockets Layer (SSL 
3.0), un protocollo di sicurezza che fornisce la privacy sulle 
comunicazioni in Internet. Il protocollo consente alle applicazioni 
client / server di comunicare in un modo progettato per prevenire 
intercettazioni, manomissioni o falsificazioni di messaggi."
 
Sapere che un certificato SSL è valido è assolutamente insignificante ai 
fini della sicurezza. Al massimo può indicare che il sito è amministrato 
da cialtroni.
 
 
-- 
gio
 


no, garantisce che i messaggi tra client e server non possono essere 
intercettati e/o manomessi (il noto 'man in the middle')
 
 
 
-- 
gio
 



La domanda, con questa discussione c'entra poco; anche perchè, un sito
che ospita malware o schifezze può tranquillamente usare https invece
di http; se un normale sito che è stato configurato per usare https
viene bucato e ci viene caricata sopra robaccia, il sito continuerà ad
usare https, ma ai visitatori verrà inviata robaccia; anzi, spesso il
tutto fa comodo a chi mette in piedi phishing, si buca un sito https e
lo si usa per le pagine di phishing, a quel punto il "tontolone" di
turno, vede il "lucchetto" e pensa che sia tutto a posto :P
 
 
 


Non vorrei essere stato frainteso, io non ho mai detto che il sito di cui
si parla lo si può aprire con il 100% di sicurezza, sarei un pazzo a
dirlo, non esiste il rischio zero, mi sono limitato a dire "vai
tranquillo" perché ho aperto quel sito, ho constatato, come mi era
possibile e con la dovuta prudenza, che "ArchiPit" poteva aprirlo; poi
sarebbe stato a lui proseguire e controllare quel che avrebbe scaricato.
 
Ripeto ancora che non ho mai scritto *sito sicuro 100%*, ho scritto che
il suo *certificato SSL era validato sicuro*, non credo che tutto questo
debba causare così tanta contestazione, se, come ho capito da quel che
avete scritto, non si può aprire un sito htts con la dovuta prudenza e
bloccando gli script.
 
Allora non resta altro da fare che spegnere il PC e staccare la spina :-/
-- 
    * b *
  *   y   *
*   Piero   *
#v+


 vale la "fatica" d'installarlo. :-)
 
sì ma nel caso di specie non vuol dire nulla, perché se è bloccato da 
kaspersky vuol dire che i suoi contenuti sono insicuri non la connessione 
ssl.

 :-/
 
no, perché? stiamo parlando di un sito bloccato da kaspersky, basta non 
ignorare questo chiaro segnale.
 

 non ignorare questo chiaro segnale.
 
non solo da Kaspersky
 
https://www.virustotal.com/gui/url/1a244baba26017f594df6afc49fc7b66514ba7b7fcffec8b96124dc9de0340ec/detection
 
 
apparentemente il sito (o il server sul quale risiede, se si tratta di
un host che ospita più siti) è (o è stato) usato per phishing
 
 
 

 il server sul quale risiede
 
https://viewdns.info/reverseip/?host=94.23.64.18&t=1
 
 
:P
 

"rootkit" [by Pan/0.145 (Duplicitous mercenary valetism; d7e168a

OK, ho capito che non mi volete capire, ma va bene così, io posso solo
aggiungere che Kaspersky non è il vangelo:
https://www.virustotal.com/gui/url/1a244baba26017f594df6afc49fc7b66514ba7b7fcffec8b96124dc9de0340ec/detection
 
e che con  
https://vms.drweb.com/online/?lng=en
 risulta:
No viruses
The website is not the in the Doctor Web malicious sites database
The website does not redirect to another website
 
Un saluto a tutti. :-)
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-carpe diem-
#v-
 
 

 database The website does not redirect to another website
 
in effetti non ti ho capito. mettiamo che un antivirus rilevi un virus 
sul tuo pc, tu che fai, cambi antivirus finché non trovi quello che ti 
dice che hai il pc pulito? :-)

 
 
Magaei dipende da quando hanno fatto la scansione, nonché da quante persone 
usano DrWeb rispetto agli altri sopra elencati e dal modo in cui operano i 
sistemi elencati; perché di certo DrWeb *non* ha una quantità di endpoint 
lontanamente paragonabile agli altri colossi.
 


Non sarà perché questo dominio, tra gli altri, ospita 3 mail server?
https://dnslytics.com/ip/94.23.64.18
 
 
Perché mi sembra difficile immaginare come su un sito web sia possibile
fare phishing.
 
Può succedere scaricando qualcosa ed insieme a quello ci sia un trojan
che insinuandosi nel PC copi le credenziali di c/c e carte di credito?
 
Non riesco ad immaginare altro, escludendo un 0-day ché da quello non ci
salva nessuno, ma probabilmente ci saranno altre possibilità che spero
mi farai presente; anche ad un'età tarda come la mia fa sempre piacere
imparare qualcosa di nuovo, e *ti prego di credere che non sto facendo*
*dell'ironia*.


 quantità di endpoint lontanamente paragonabile agli altri colossi.
 
Vero anche questo, ma fare altri controlli male non fa, tanto più che la
gran parte degli altri mostrano il sito clean, 3 su 69 può generare
qualche dubbio.
 
Io ho pensato questo: Sophos AV -> Malicious poco o nulla credibile se
gli altri 68 non lo hanno rilevato, e questo mi fa pensare, poi riguardo
a Fortinet e Kaspersky -> Phishing, vedi la mia risposta a ObiWan.
 
Segnalo che 
https://www.drweb.com/?lng=en
 si può installare come
estensione sul browser, io ce l'ho su Firefox, ed è un altro comodissimo
componente aggiuntivo che controlla la nostra navigazione.
 
Segnalo anche questo motore di ricerca che a qualcuno può tornare utile:
https://www.startpage.com/
 inserendo l'url del sito aprono i collegamenti
a tutto quel che contiene il sito dando modo di poter scaricare ciò che
serve senza aprire e navigare il sito.
 
Anche questo si può aggiungere ai motori di ricerca, io ce l'ho. :-)
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-deus ex machina-
#v-
 
 

"rootkit" [by Pan/0.145 (Duplicitous mercenary valetism; d7e168a

Certo che no :-) in prima battuta cerco di capire come ho sempre fatto ed
agire di conseguenza.
 
Non mi sarò spiegato bene, ma voglio provarci ancora sperando di essere
il più chiaro possibile partendo dall'inizio e mettendo dei punti fermi.
 
1- mi sono sempre riferito a htts e non http,
2- non ho mai contestato quello che ha scritto ObiWan, che il certificato
   SSL non è indice di sicurezza perché se il sito viene bucato il
   certificato non indica nulla in proposito, anche se penso che buttarci
   un occhio sopra male non faccia,
4- Virustotal rileva che su 69 antivirus 3 hanno rilevato che:
   Sophos AV -> Malicious + Fortinet e Kaspersky -> Phishing.
 
Per quanto riguarda il Phishing leggi la mia risposta a ObiWan, mentre
nutro dubbi su Sophos AV in quanto è stato l'unico a rilevare Malicious,
per questo lo ritengo non affidabile perché mi sembra strano che una cosa
così grave sia stata ignorata dagli altri 68.
 
Detto questo c'è il fatto che io il sito l'ho aperto, l'ho visitato ed
ancora riaperto, ovviamente senza scaricare nulla che m'interessasse, e
non ho avuto né avvisi né indicazioni che potessero allarmarmi.
 
Tutto questo vorrà dire qualcosa o no?
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-do ut des-
#v-
 
 

 possibile fare phishing.
 
Aspetta, mi stai dicendo che non ti rendi conto di come siano messe in
piedi, su webserver bucati, le pagine web di (es.) "poste italiane" e
simili ?
 
 

 aggiungere che Kaspersky non è il vangelo:
 
certo che no, ma kaspersky (e non solo, ripeto) segnala quel sito come
potenzialmente pericoloso e probabilmente legato a "phishing", credo
sia il caso di considerare l'avviso e, quantomeno, fare attenzione; se
poi vuoi ignorare il tutto, libero di farlo, ci mancherebbe :P
 
 
 

 Kaspersky gli blocca il sito che invece viene validato da Calomel.
 
L'add-on di calomel si limita a controllare che il certificato usato da
quel sito per le connessioni SSL sia valido, questo non significa che
il sito NON contenga robaccia
 
 


Esatto, aspetto di saperlo per impararlo, come avevo scritto.
Ripeto, *non è ironia*, credimi, sono vecchio ma riesco ancora a capire.
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Da noi le perle del pensiero sono prodotte dalle cozze.
#v-
 
 

 capire.
 
Ok, supponiamo di avere un webserver con URL
 
https://www.example.com
 
 
ora, un brutto giorno, qualcuno "buca" il server, crea sullo stesso una
cartella "/
posteitaliane.it/secure/clienti
", piazza nella cartella
alcune pagine php o altro che "simulano" quelle di logon di poste ed a
quel punto, inizia ad inviare email di phishing il cui URL punta a
 
https://www.example.com/posteitaliane.it/secure/clienti/login.php
 
 
ovviamente il tutto usa HTTPS ed il certificato è valido, peccato che
si tratti di phishing
 


Ma questo lo sapevo anch'io Obi, mi riferivo al sito 
leeno.org
 quello da
cui è partita la discussione.
 
Ammesso che sul sito ci sia una richiesta in tal senso, anche se lo
ritengo molto improbabile, ce lo vedi "ArchiPit" che come un boccalone
fornisce tutti i dati richiesti?
Mi parrebbe un'offesa alla sua intelligenza. :-)
 
Ipotizzavo che ci fosse un sistema malevolo a me sconosciuto per rubare
le credenziali, cosa che poteva essere interessante conoscere.
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-audaces fortuna iuvat-
#v-
 
 


Ma per qualcuno evidentemente non è così.
 
 
 
 

 rubare le credenziali, cosa che poteva essere interessante conoscere.
 
mettiamo che all'atto del download il sito richieda un indirizzo email,
già questo potrebbe bastare, se il sito è compromesso, l'indirizzo
potrebbe essere intercettato ed utilizzato per alimentare le liste di
qualsiasi spambotnet
 
 

 le liste di qualsiasi spambotnet
 
Sai meglio di me che si può dare un indirizzo email creato /ad hoc/. :-)
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-carpe diem-
#v-
 
 

 Sophos AV, che però, come avevo già scritto, non ritengo attendibile.
 
[...]
 
Sophos è attendibile. Se segnalano phishing vuol dire che quello è il risultato 
delle segnalazioni dei loro clienti, o di loro scansioni automatiche, o di una 
condivisione di informazioni.
Bisogna anche stare attenti che i motori di scansione usati da VirusTotal 
possono non essere l'ultima versione nel momento in cui tu chiedi una verifica 
su un file o su un URL.
 
Gabriele
 
 

 Gabriele
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-beati monocoli in terra caecorum-
#v-