Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 72 replies
  • Subscribers 4 subscribers
  • Views 73109 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

crl.verisign.com Threat Protection false positives?

stealthmatt_01
Hi all,

We are seeing an increase in ATP notifications just today, in relation to *crl.verisign.com

This seems like its a certificate look up? Mulitplie UTMs are reporting this same threat with different clients, we have run malware bytes and full system AV scan and can't seem to find anything.

The one PC we did find a trojan, we have cleared and just now it has said the same IP tried to get to the same site? the Reason is both DNS and Proxy...


This thread was automatically locked due to age.
Parents
  • 0
    I agree Ondrej, just pasted what support told me :-)

    I made the case 3 days ago, first they told me it would be fixed in the evening, but yesterday they gave me the exceptions...still not working

    Today? - I can't even ping the host, domain not resolvable [:S]
    (Maybeit it IS infected?!)

    UPDATE: Was running 9.3 Beta at the same, reverting to 9.2 now gives me the blocked screen again. Better tell them in the BETA forum [:)]

    -----

    Best regards
    Martin

    Sophos XGS 2100 @ Home | Sophos v20 Technician

Reply
  • 0
    I agree Ondrej, just pasted what support told me :-)

    I made the case 3 days ago, first they told me it would be fixed in the evening, but yesterday they gave me the exceptions...still not working

    Today? - I can't even ping the host, domain not resolvable [:S]
    (Maybeit it IS infected?!)

    UPDATE: Was running 9.3 Beta at the same, reverting to 9.2 now gives me the blocked screen again. Better tell them in the BETA forum [:)]

    -----

    Best regards
    Martin

    Sophos XGS 2100 @ Home | Sophos v20 Technician

Children
  • 0 in reply to twister5800
    Maybeit it IS infected?!


    I assume that if particular site serves as an infection source, it will be listed rather in URL categorization (Malicious Sites) than in ATP pattern. The reason is that victim reaches such site from yet uninfected endpoint (either directly or in drive-by scenario), so there's no reason for alert and simply blocking the request is sufficient in this case.

    The purpose of ATP is to identify and alert of already infected endpoint when it tries to reach its mothership (aka C&C center).

    In the case of Verisign, it is very unlike that its CRL distribution points serve as either C&C or primary infection source. As I wrote yesterday, Verisign's URLs most likely passed to ATP defs due to insufficient review of collected results from behavioral analysis.

    In the case of whatismyipaddress, although its reputation is uncomparable with Verisign's, the most probable scenario is that some malware abuses this service to get public IP address of infected endpoint (in the past I saw ransomware incidents where "lock screen" mentioned public address). Whatismyipaddress is general-purpose service and even if it is contacted by malware, this fact alone is not sufficient to classify it as indicator of malware-initiated communication.

    Ondrej
Unfiltered HTML