Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Replies 1 reply
  • Subscribers 0 subscribers
  • Views 1044 views
  • Users 0 members are here
Options
Suggested

[BUG] All proxy traffic considered malware on initial setup

Billybob
I had a strange issue when I first started the proxy. My client computer is not using copernicus as gateway but chrome had manual proxy configuration set to use copernicus as the proxy server. When trying to browse any website, I got a connection denied with reason being malware/virus

some logs 
awarrenhttp[6981]: Integrated HTTP-Proxy (c) 2007-2015 Sophos Ltd, Release @0.local1439364432

2015:08:17-18:21:40 [ 6997/     (nil)]        config.c:204   cfg_reload reloading config

2015:08:17-18:21:40 [ 6997/     (nil)] acl-parsefile.c:991   read_frm_file Processing [/static/proxy/awarrenhttp/header]

2015:08:17-18:21:40 [ 6997/     (nil)]    acl-common.c:650   validate_addr Not CIDR mask; continuing as it is...

2015:08:17-18:21:40 [ 6997/     (nil)]    acl-common.c:650   validate_addr Not CIDR mask; continuing as it is...

2015:08:17-18:21:40 [ 6997/     (nil)] acl-parsefile.c:490   parse_acl_line Duplicate acl name 'ALL', at lineno 114

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:2506  read_frm_database database connection established [corporate]

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:2519  read_frm_database database connection established [signature]

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:605   acl_parse_webcategory 'Cookies' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:605   acl_parse_webcategory 'Applets' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'Desktop Mail' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'Network Services' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'P2P' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'VoIP' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'Conferencing' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'General Business' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'Infrastructure' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'Remote Access' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'Software Update' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'Storage and Backup' is an invalid category

2015:08:17-18:21:40 [ 6997/     (nil)]   acl-parsedb.c:554   acl_parse_appcategory 'E-commerce' is an invalid category

2015:08:17-18:21:46 [ 6997/     (nil)] acl-parsefile.c:991   read_frm_file Processing [/static/proxy/awarrenhttp/tailer]

2015:08:17-18:21:46 [ 6997/     (nil)] acl-parsefile.c:991   read_frm_file Processing [/static/proxy/awarrenhttp/gheader]

2015:08:17-18:21:46 [ 6997/     (nil)]        config.c:227   cfg_reload reloading portal key/cert

2015:08:17-18:21:46 [ 6997/     (nil)]        config.c:237   cfg_reload reloading config done

id="8001" severity="info" sys="SecureWeb" sub="http" name="web request blocked, virus detected" action="block" method="GET" srcip="192.168.0.3" dstip="74.125.207.105" user="" statuscode="403" cached="0" trxlen="2935" rxlen="496" request="0x7fe574023d30" url="www.google.com/.../537.36" categoryname="Search Engines" category="64" application="None" appcat="None" appids="" reason="malware" virus=""

id="8001" severity="info" sys="SecureWeb" sub="http" name="web request blocked, virus detected" action="block" method="GET" srcip="192.168.0.3" dstip="74.125.207.105" user="" statuscode="403" cached="0" trxlen="2946" rxlen="1352" request="0x7fe574023d30" url="www.google.com/.../537.36" categoryname="Search Engines" category="64" application="None" appcat="None" appids="" reason="malware" virus=""

id="8001" severity="info" sys="SecureWeb" sub="http" name="web request blocked, virus detected" action="block" method="GET" srcip="192.168.0.3" dstip="157.166.226.26" user="" statuscode="403" cached="0" trxlen="2928" rxlen="631" request="0x7fe5800252f0" url="cnn.com/.../537.36" categoryname="News" category="41" application="None" appcat="None" appids="" reason="malware" virus=""

id="8001" severity="info" sys="SecureWeb" sub="http" name="web request blocked, virus detected" action="block" method="GET" srcip="192.168.0.3" dstip="157.166.226.26" user="" statuscode="403" cached="0" trxlen="2939" rxlen="642" request="0x7fe5800252f0" url="cnn.com/.../537.36" categoryname="News" category="41" application="None" appcat="None" appids="" reason="malware" virus=""

id="8001" severity="info" sys="SecureWeb" sub="http" name="web request blocked, virus detected" action="block" method="GET" srcip="192.168.0.3" dstip="23.101.196.141" user="" statuscode="403" cached="0" trxlen="2928" rxlen="355" request="0x7fe57402f940" url="msn.com/.../537.36" categoryname="Portal Sites" category="56" application="None" appcat="None" appids="" reason="malware" virus=""

id="8001" severity="info" sys="SecureWeb" sub="http" name="web request blocked, virus detected" action="block" method="GET" srcip="192.168.0.3" dstip="23.101.196.141" user="" statuscode="403" cached="0" trxlen="2939" rxlen="377" request="0x7fe57402f940" url="msn.com/.../537.36" categoryname="Portal Sites" category="56" application="None" appcat="None" appids="" reason="malware" virus="


The problem went away by itself after a few minutes which leads me to believe that maybe when there are no av definitions available initially to the av engine all traffic is considered malware[:S]

Regards
Bill
Unfiltered HTML