lesCigales.ORG - Hébergement gratuit sans publicité - Eradication des sites de phishing et de spams

Re: Eradication des sites de phishing et de spams

null@example.com (xavier.albine) — Thu, 15 Apr 2010 07:45:07 +0000

Bonjour à tous,

Désirant mettre mes idées afin de vous aider à améliorer le service sur LesCigales.org, voici la suggestion que je voudrais vous soumettre ; malheureusement je n’ai pas de grande connaissance tant en PHP que CRON et MySQL que pour pouvoir déterminer la faisabilité de cette méthode.

Mon idée en résumé : attribuer des points de « sensibilité » de site à chaque mise à jour ou ouverture de compte ; lorsque le site obtient un quota de point il est analysé « manuellement », s’il dépasse une quantité de point il est mis « temporairement bloqué » et analysé par la suite ; à défaut il reste en analyse automatique et donc sans alertes (mais peut avoir des points…).

Cela impliquerait la création d’un robot (CRON, script, … ??) d’analyse de log FTP pour tous les comptes. A chaque MAJ par FTP ; le robot devrait donc refaire une analyse du sous-domaine tant sur le nom des pages que sur le contenu…

Chaque mot, chaque action serait associée à un quota de point allant par exemple de 0 à 3 et attribuerait cumulativement un score.

Si ce score dépasse 10 (toujours en exemple) placerait le sous-domaine en alerte (orange par exemple) et indiquerait aux administrateurs du domaine qu’il faudrait le regarder dans les prochaines heures (par un modérateur, exemple toujours) ; s’il dépasse un quota de 15 points, le site serait automatiquement bloqué et le sous-domaine serait en alerte (rouge par exemple) et indiquerait aux administrateurs du domaine qu’il est impératif de l’analyser. Etc. etc.

Les domaines d’analyse pourraient être : le nom des pages, le nom du sous-domaine, les actions utilisées dans le site (impliquant l’analyse complète HTML).
[edit] Dans la même continuité d'idée à chaud, dans les logs serveurs il est possible de voir si une requête a été faite à partir d'un autre site... Toutes requête HTTP provenant de certains domaines pourraient donc être suspecte (pourquoi ne pas utiliser la liste du plugin Ad-block Plus par exemple ?)...

Bien entendu, comme je l’entends souvent, tout est possible à faire… Mais est-ce du domaine du réalisable. Ne serait-il pas adéquat de voir s’il existe un système similaire en open-source afin de ne pas recréer la roue ? J’ai tenté de chercher, mais sans succès.

N’hésitez pas à me tenir informé,

Xavier

Re: Eradication des sites de phishing et de spams

null@example.com (Yop) — Sat, 21 Nov 2009 03:24:43 +0000

Sur une base de temps ou bien à chaque logout d'une session ftp, faire un diff sur les fichiers (un hachage sur les binaires).
Si modification il y a, générer un webshot du site et le poster à une équipe de modérateurs, par exemple comme un tread sur un sujet dédié du forum.

Re: Eradication des sites de phishing et de spams

null@example.com (Madmax) — Sun, 26 Jul 2009 06:14:25 +0000

Sinon pour ce problème il faudrait peut être nettoyer à la source.
http://www.cheat-w0w.com/showthread.php?t=2467 on y trouve lescigales comme hebergeurs conseillé.
http://www.cheat-w0w.com/forumdisplay.php?f=50 et il suffit de regarder là pour s'appercevoir que c'est pas pour mettre des photos de famille en ligne.

Re: Eradication des sites de phishing et de spams

null@example.com (Madmax) — Fri, 17 Jul 2009 15:49:37 +0000

J'ai trouvé un site frauduleux, je l'ai envoyé aux admin via le formulaire de contact
Mais je continue mes recherche

Re: Eradication des sites de phishing et de spams

null@example.com (Madmax) — Sat, 11 Jul 2009 14:43:48 +0000

Ah oui, autant pour moi, j'étais partis sur un WebBot, et pas sur un bot au niveau du système de fichiers.
Dis donc ca fait une paire de piste en quelques jours pour un post ouvert il y a plus d'un mois

Re: Eradication des sites de phishing et de spams

null@example.com (NooD) — Fri, 10 Jul 2009 19:50:03 +0000

Madmax a écrit:

Ou encore une autre piste serait de scanner les referrer et client ID.
Referrer pour les webmails (Gmail, yahoo, hotmail ...)
Client ID pour les clients mail (outlook express, thunderbirds ...)
Le site qui est bcp visité venant d'une messagerie est suspect.
Le problème du bot, et c'est aussi le problème de la verification manuelle, est que si le site frauduleux est dans un sous répertoire du serveur virtuel, avec un site vitrine banal, il est impossible de le savoir. ex: blabla.lescigales.org/paypal/ si dans le site principal blabla.lescigales.org il n'y a pas de lien vers blabla.lescigales.org/paypal/ le bot ou la verif manuelle ne le découvrira pas.

C'est idée est bonne mais les modérateurs seront alertés après que plusieurs victimes se seraient fait piégées.
En ce qui concerne le bot, il ne va pas vérifier le répertoire racine mais tous les sous-répertoires, sinon cela n'a aucun sens.

Re: Eradication des sites de phishing et de spams

null@example.com (Madmax) — Fri, 10 Jul 2009 11:39:04 +0000

Ou encore une autre piste serait de scanner les referrer et client ID.
Referrer pour les webmails (Gmail, yahoo, hotmail ...)
Client ID pour les clients mail (outlook express, thunderbirds ...)

Le site qui est bcp visité venant d'une messagerie est suspect.

Le problème du bot, et c'est aussi le problème de la verification manuelle, est que si le site frauduleux est dans un sous répertoire du serveur virtuel, avec un site vitrine banal, il est impossible de le savoir. ex: blabla.lescigales.org/paypal/ si dans le site principal blabla.lescigales.org il n'y a pas de lien vers blabla.lescigales.org/paypal/ le bot ou la verif manuelle ne le découvrira pas.

Re: Eradication des sites de phishing et de spams

null@example.com (20100) — Fri, 10 Jul 2009 10:05:12 +0000

Une autre piste serait de créer un bot qui parcours régulièrement les pages hébergés (par exemple en COM Automation sous windows) et qui contrôle le contenu des pages selon un dictionnaire prédéfini et qui t'alertes par mail en cas de suspicion. Certes ça n'enlève pas le contrôle humain à la fin mais au moins ça automatise la recherche de pages douteuses.

Autrement dit, tu créer un dictionnaire contenant les String qui te paraissent douteux (genre BNP, ect...), ton script compare par expression régulière le contenu de la page avec ton dictionnaire... un peu comme un bruteforce ...

Re: Eradication des sites de phishing et de spams

null@example.com (Madmax) — Thu, 09 Jul 2009 11:22:47 +0000

Bon ben voilà, y'a plus qu'a coder.
Sinon en passant. Il y a un problème avec la loterie. Car je me suis inscrit, mais je n'ai pas reçu le mail de confirmation. Pourtant le mail est bien dans la base de donnée. Car si je réessai j'ai l'erreur : Cet email existe déjà dans la base de données, veuillez en choisir un autre.
Snif

Re: Eradication des sites de phishing et de spams

null@example.com (NooD) — Thu, 09 Jul 2009 10:23:21 +0000

Apparemment il existe une implémentation Perl d'ImageSeek : http://search.cpan.org/dist/Image-Seek/ … ge/Seek.pm
Donc c'est scriptable.
Le résultat est un nombre, plus celui-ci est petit plus il y a de ressemblances entre les images.
Il y aussi une version serveur d'ImageSeek : http://server.imgseek.net/

Re: Eradication des sites de phishing et de spams

null@example.com (Madmax) — Wed, 08 Jul 2009 17:55:45 +0000

ImageSeek semble pouvoir le faire avec une interface graphique. Par contre je suis pas sur que ca soit scriptable. Mais le projet à l'air plutôt puissant.

Et je suis quasi sûr qu'un soft comme celui ci existe.

Puis au pire si ca ne marche que par interface graphique. Il suffit de faire un montage nfs sur le disque du serveur. Et de lancer le scan.
Mais comme j'avais déjà dis plus haut. Une simple comparaison bit à bit peut suffir à en trouver pas mal.

Re: Eradication des sites de phishing et de spams

null@example.com (NooD) — Wed, 08 Jul 2009 15:04:12 +0000

La comparaison d'images est intéressante, tu connais des outils qui sont capables de faire ce genre de comparaisons ?
Pour la blacklist google, je crois qu'elle ne traite que les domaines principaux et pas les sous-domaines donc je pense que si un site est blacklisté se sera lescigales.org et pas xxx.lescigales.org

Re: Eradication des sites de phishing et de spams

null@example.com (Madmax) — Tue, 07 Jul 2009 18:27:01 +0000

Si il est dans le fichier dont j'ai parlé c'est qu'il est déjà blacklisté.
Ce fichier est juste une liste de site non recommandable.
Je cherche le lien en vain par contre.
Mais on retrouve des details ici, et c'est pas si facile que ca en fait. Mais pas impossible. Et ca doit moins pomper les ressources.

Mais je pense quand même que l'analyse des images sur vos serveurs peut éviter de se retrouver sur cette liste

Re: Eradication des sites de phishing et de spams

null@example.com (infobarquee) — Tue, 07 Jul 2009 16:39:38 +0000

Bonjour,
ce sont de bonne sidées, mais méler google à ca est à double tranchant, car google pourrait très bien blacklister lescigales.org pour quelques sites de phising.
autant traiter en interne déjà.

Re: Eradication des sites de phishing et de spams

null@example.com (Madmax) — Tue, 07 Jul 2009 16:24:21 +0000

Encore une idée, moins gourmantes en ressources.
Je sais que Google met à disposition une base de données des sites de phising et autre si lescigales apparait dans l'adresse. le coupable sera vite trouvés
http://books.google.com/books?id=8UsqHo … mp;pg=PA33
J'arrete maintenant