Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 72 replies
  • Subscribers 4 subscribers
  • Views 73115 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

crl.verisign.com Threat Protection false positives?

stealthmatt_01
Hi all,

We are seeing an increase in ATP notifications just today, in relation to *crl.verisign.com

This seems like its a certificate look up? Mulitplie UTMs are reporting this same threat with different clients, we have run malware bytes and full system AV scan and can't seem to find anything.

The one PC we did find a trojan, we have cleared and just now it has said the same IP tried to get to the same site? the Reason is both DNS and Proxy...


This thread was automatically locked due to age.
Parents
  • 0
    Hello, I already put the verisign´s to exception, but I don´t understant why still ATP reporting them as botnet C&C see attach screen. Everything is point abou verisign.

    My current pattern version is : 68058
    firmware version is: 9.207-19
    /aptp/ is: /aptp/u2d-aptp-9.2619.tgz.gpg'
  • 0 in reply to corsairetc
    Hello, I already put the verisign´s to exception, but I don´t understant why still ATP reporting them as botnet C&C see attach screen. Everything is point abou verisign.

    My current pattern version is : 68058
    firmware version is: 9.207-19


    There is something wrong with the signatures, go and do a manual update of your patterns.

    In the end your signature version must be: ATP signatures 9.2609

    Look at Ondrej's post, how to find out which version you are running :-)

    -----

    Best regards
    Martin

    Sophos XGS 2100 @ Home | Sophos v20 Technician

Reply
  • 0 in reply to corsairetc
    Hello, I already put the verisign´s to exception, but I don´t understant why still ATP reporting them as botnet C&C see attach screen. Everything is point abou verisign.

    My current pattern version is : 68058
    firmware version is: 9.207-19


    There is something wrong with the signatures, go and do a manual update of your patterns.

    In the end your signature version must be: ATP signatures 9.2609

    Look at Ondrej's post, how to find out which version you are running :-)

    -----

    Best regards
    Martin

    Sophos XGS 2100 @ Home | Sophos v20 Technician

Children
  • 0 in reply to twister5800
    I posted already I found aptp version 9.2619
  • 0 in reply to corsairetc
    I posted already I found aptp version 9.2619


    Sorry, my bad...

    What does the ATP log say?

    -----

    Best regards
    Martin

    Sophos XGS 2100 @ Home | Sophos v20 Technician

  • 0 in reply to twister5800
    Here it is. The live log says nothing. Last entry I had from yesterday:

    2014:10:06-05:57:07 mail-2 named[4685]: rpz: client 192.168.101.229#63154 (csc3-2009-2-crl.verisign.com): view default: rpz QNAME NXDOMAIN rewrite csc3-2009-2-crl.verisign.com via csc3-2009-2-crl.verisign.com.rpz
    2014:10:06-06:26:56 mail-2 named[4685]: rpz: client 192.168.101.229#64746 (csc3-2009-2-crl.verisign.com): view default: rpz QNAME NXDOMAIN rewrite csc3-2009-2-crl.verisign.com via csc3-2009-2-crl.verisign.com.rpz
    2014:10:06-06:26:57 mail-2 named[4685]: rpz: client 192.168.101.229#62942 (CSC3-2004-crl.verisign.com): view default: rpz QNAME NXDOMAIN rewrite CSC3-2004-crl.verisign.com via CSC3-2004-crl.verisign.com.rpz
    2014:10:06-07:40:05 mail-1 named[4712]: rpz: client 192.168.101.229#63192 (csc3-2004-crl.verisign.com): view default: rpz QNAME NXDOMAIN rewrite csc3-2004-crl.verisign.com via csc3-2004-crl.verisign.com.rpz
  • 0 in reply to corsairetc
    Here it is. The live log says nothing. Last entry I had from yesterday:


    Note that /var/log/aptp.log does not contain ATP hits through web proxy, these are in /var/log/http.log instead. You can search for them in Logging & Reporting > View Log Files > Search Log Files, select log file Web Filtering and in Search term field enter this phrase: 

    name="web request blocked, threat detected"


    Current ATP defs are 9.2627 from 2014-10-07 05:40 GMT and don't contain any Verisign's target.

    Ondrej
Unfiltered HTML