Cloudflare classifica archive.today como "C&C/Botnet"; não resolve no 1.1.1.2

• O serviço de DNS da Cloudflare classificou o domínio archive.today como um site relacionado a comando e controle (C&C) ou botnet
• Como resultado, o domínio não é resolvido normalmente por meio do DNS seguro 1.1.1.2
• Ao acessar a página radar.cloudflare.com, um processo de verificação de bot é executado automaticamente
• O usuário precisa ativar JavaScript e cookies, e é exibida a mensagem “Verificação de segurança em andamento”
• Esses procedimentos fazem parte do mecanismo de segurança da Cloudflare para bloquear bots maliciosos e proteger o tráfego legítimo

---

Procedimento de verificação de segurança ao acessar radar.cloudflare.com

• radar.cloudflare.com aplica um serviço de segurança para proteção contra bots maliciosos
  • Para confirmar que o usuário é uma pessoa real, é executado um processo de verificação de bot
  • Nesse processo, é necessário ativar JavaScript e cookies
• Na página, é exibido o estado de aguardo pela verificação do usuário, junto da mensagem “Verificação de segurança em andamento”
  • Quando a verificação é concluída, aparece a mensagem “Verificação concluída com sucesso. Aguardando resposta de radar.cloudflare.com”
• Esse procedimento faz parte do sistema de proteção de segurança da Cloudflare, com o objetivo de bloquear acessos automatizados e permitir apenas tráfego legítimo

[GN⁺]

Opiniões do Hacker News

• archive.today e seus domínios estão sendo classificados no DNS 1.1.1.2 da Cloudflare como CIPA Filter, Command and Control & Botnet, DNS Tunneling etc.
  Em um exemplo de requisição, archive.is responde com 0.0.0.0 e vem com a observação "EDE(16): Censored"
  Discussões relacionadas incluem um post dizendo que o Archive.today lançou um ataque DDoS contra um blog, um caso em que a Wikipedia começou a remover links do archive.today e um post perguntando sobre um comportamento estranho do archive.today

  • Graças a isso, descobri pela primeira vez a API DoH. Como o CORS está aberto, dá para chamar direto via JavaScript
    Então fiz a ferramenta web de consulta DNS com que eu sempre sonhei

• Acho que essa questão precisa ser vista por dois ângulos. Um é o ataque ao blog; o outro é o fato de o archive.today estar sob investigação do FBI
  Além disso, algum grupo está fazendo pressão com acusações falsas de CSAM
  Veja a matéria sobre a intimação do FBI e a explicação do bloqueio pela AdGuard

  • Jani Patokallio, do gyrovague.com, publicou um post tentando expor a identidade (doxing) do operador do archive.today
    Ele alega que investigou porque achava estranho não se saber quem operava um serviço tão amplamente usado
    Mas o archive.today é um projeto de arquivamento de interesse público oferecido gratuitamente. O operador mantém o serviço assumindo riscos legais
    Acho muito mais perigosa a tentativa de revelar publicamente a identidade de alguém do que um DDoS. Esse tipo de atitude se aproxima mais de stalking do que de simples admiração
  • No fim, coexistem duas visões: a de que o archive.today está praticando atos ilícitos e, ao mesmo tempo, a de que está sendo investigado pelas autoridades de justiça dos EUA
  • Em outra perspectiva, também há a alegação de que o archive.today pode facilitar violação de direitos autorais. Eu mesmo às vezes uso para contornar paywall

• Acho que a Cloudflare age como uma organização de fachada de agências de inteligência. Junto com entidades como a Spamhaus, exerce poder excessivo

• Se alguém estiver confuso sobre por que um DNS público está bloqueando um site, o 1.1.1.2 é um DNS para bloqueio de malware. Não é a mesma coisa que o 1.1.1.1 comum
  Para o contexto relacionado ao DDoS, veja gyrovague.com

  • Só para referência, o 1.1.1.3 é um DNS para bloqueio de conteúdo adulto
  • Eu achei que o 1.1.1.1/1.0.0.1 também já não resolviam domínios como archive.today

• Já li no passado um post de blog de alguém que trabalhou no escritório europeu do Google e que, usando bastante o archive.today, tentou descobrir quem era o operador
  No fim desistiu e concluiu dizendo que “queria pagar uma cerveja” para ele, mas o processo de investigação foi bem profundo

  • Provavelmente se refere a este texto. Houve polêmica, mas achei uma leitura interessante. Alguns veem isso como doxing, mas eu não penso assim

• O ataque do archive.today contra gyrovague.com já dura mais de dois meses
  IPs na Finlândia caem em captcha infinito e, ao passar pelo primeiro captcha, um snippet de JS começa a disparar a função de busca do site como spam

  • Não sou desenvolvedor web, mas fico me perguntando se não haveria alguma forma de impedir a execução desse tipo de script com headers CORS ou controle de acesso
  • Também estou tendo o mesmo captcha infinito com um IP do sul da Califórnia. Ou algo está seriamente quebrado, ou é malicioso
  • Fico na dúvida se, ao bloquear o JavaScript do archive.today com o NoScript, eu deixo de participar do DDoS
  • Não entendo por que o archive.today está atacando o gyrovague
  • O acesso está bloqueado não só para IPs da Finlândia, mas também por VPN, então estou procurando um serviço alternativo

• A linha do tempo dessa situação é interessante
  (1) Em maio de 2019, apareceu um post dizendo “archive.is está inacessível no Cloudflare DNS (1.1.1.1)”, e a Cloudflare respondeu: “não bloqueamos nenhum domínio”
  Explicou que o archive.is devolvia respostas incorretas por causa da política do 1.1.1.1 de não repassar informações de subnet EDNS
  A Cloudflare diz que não repassa essas informações para proteger a privacidade do usuário e evitar vigilância em nível de país
  (2) Em setembro de 2021, houve uma discussão posterior perguntando: “o Cloudflare 1.1.1.1 bloqueia o archive.is?”

  • O 1.1.1.1 citado acima é o resolvedor padrão da Cloudflare, enquanto o 1.1.1.2 e o 1.1.1.3 são para bloqueio de malware e conteúdo

• Só por esta thread, já parece que várias personas ligadas ao archive.today estão atuando ao mesmo tempo. Parece sockpuppet ou parte de uma operação maior

• Sem o archive.today, uma parte considerável dos posts do HN não poderia ser lida

  • Isso provavelmente é confusão com o archive.org

• As classificações como DNS Tunneling e C&C/botnet são estranhas. Isso não indica apenas crawling, mas sim exfiltração de dados ou bypass de firewall
  Fico curioso sobre que padrão de tráfego teria levado a essa classificação

  • Eu também estranhei isso. Pensei se seria porque o archive.today pode ser usado para contornar sites bloqueados por DNS, mas o web.archive.org não tem esse tipo de flag. Então deve haver outro motivo
    Informações de domínio do web.archive.org no Cloudflare Radar