Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 72 replies
  • Subscribers 4 subscribers
  • Views 73110 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

crl.verisign.com Threat Protection false positives?

stealthmatt_01
Hi all,

We are seeing an increase in ATP notifications just today, in relation to *crl.verisign.com

This seems like its a certificate look up? Mulitplie UTMs are reporting this same threat with different clients, we have run malware bytes and full system AV scan and can't seem to find anything.

The one PC we did find a trojan, we have cleared and just now it has said the same IP tried to get to the same site? the Reason is both DNS and Proxy...


This thread was automatically locked due to age.
Parents
  • 0
    Thanks for reply Ondrej.

    Just got this from support in response and temporary solution:

    Yes its being investigated.

    There  are the three urls which trigger the alert

     

    csc3-2004-crl.verisign.com

    csc3-2009-2-crl.verisign.com

    csc3-2009-crl.verisign.com

     

    If you go into ATP and go to Threat Exceptions

    add the above urls

    -----

    Best regards
    Martin

    Sophos XGS 2100 @ Home | Sophos v20 Technician

  • 0 in reply to twister5800
    Yes its being investigated.
    There  are the three urls which trigger the alert

    csc3-2004-crl.verisign.com
    csc3-2009-2-crl.verisign.com
    csc3-2009-crl.verisign.com

    If you go into ATP and go to Threat Exception add the above urls


    I'm sure that these three exceptions won't solve your issue with whatismyipaddress(dot)com. A brief look into ATP defs:

    loginuser@utm:/home/login > grep -Ei -A 1 "whatismyipaddress|verisign" 


    So you must exclude also:

    bot.whatismyipaddress.com
    whatismyipaddress.com

    But who knows, whether there are other legitimate targets also blacklisted by ATP defs or not.

    Ondrej
  • 0 in reply to ondrej.holas
    I'm getting this too - typical reply from Sophos advidsing to add exceptions as follows:

    As discussed, the false positives that we are aware of are as follows:

    csc3-2004-crl.verisign.com
    csc3-2009-2-crl.verisign.com
    csc3-2009-crl.verisign.com

    If you can add these as exclusions in the short term this should prevent new alerts being generated. If you are seeing alerts for any other URLs then do let us know.


    Regards, 
    Sophos Technical Support
Reply
  • 0 in reply to ondrej.holas
    I'm getting this too - typical reply from Sophos advidsing to add exceptions as follows:

    As discussed, the false positives that we are aware of are as follows:

    csc3-2004-crl.verisign.com
    csc3-2009-2-crl.verisign.com
    csc3-2009-crl.verisign.com

    If you can add these as exclusions in the short term this should prevent new alerts being generated. If you are seeing alerts for any other URLs then do let us know.


    Regards, 
    Sophos Technical Support
Children
No Data
Unfiltered HTML