Forum schon wieder verseucht ?

[Frank rekcäR]

Das scheint sich auch noch an anderer Stelle eingenistet zu haben. Ich war eben ausgeloggt und bei jedem beliebigem Link vom Forum werden Daten von hot-nike.co.be geladen

 

[CarstenHH]

ich habe eben die noch anwesenden mods angemailt,
aber 2 von 3 waren dann auch schon offline, falls da noch jemand einen
direkteren Draht hat, dann mal los.

 

[Canophil]

Ich wurde eben auch gewaltsam ausgeloggt. Aber keine Umleitung....
Hab Thore ne Nachricht geschickt. Ist er noch da?

 

[CarstenHH]

thore hab ich auch schon informiert, aber noch keine Rückmeldung...
schlafen wohl schon alle......
Thore ist zumindest noch online gemeldet

 

[das_tanzende_ES]

Ist mir eben beim Login auch sofort aufgefallen

Selbes eben bei mir. Ich habe jetzt Java komplett disabled und lass einen Scan laufen.
Rüdiger tut mir leid, ganz ehrlich. Ich glaub so hat er sich das nicht vorgestellt.

 

[Frank rekcäR]

... und dem Rüdiger viel Spass bei der Suche

Denn wie gesagt, von dieser Site werden auch im ausgeloggten Zusatnd Daten geladen, der Iframe versteckt sich dann wohl noch woanders.


Bild: Ausgeloggt auf "Hilfe" geklickt. Funktioniert aber auch bei sämtlichen weiteren Links im Forum

 

[CarstenHH]

Naja, ich stelle mir langsam die Frage, wenn eine Datei auf Rüdigers System verändert wird, von extern, ob das noch was mit einem Problem im vbulletin zu tun hat. Das sieht doch eher nach anderen Sicherheitslücken aus. Wenn ich hingehe und eine Datei im System manipuliere und einen Link nach werweißwo einbaue, dann liegen die Probleme doch wohl woanders.

 

[CarstenHH]

Ich habe den Link "justforfun" auch mal verfolgt, sofortige Trojaner Meldung.
Ist schon echt eindeutig

 

[Gast_99693]

Das scheint sich auch noch an anderer Stelle eingenistet zu haben. Ich war eben ausgeloggt und bei jedem beliebigem Link vom Forum werden Daten von hot-nike.co.be geladen

Nein, ich glaube nicht. Dass es im ausgeloggten Zustand immer kommt, liegt daran, dass dann oben rechts immer ein kleines Login-Formular eingeblendet wird, und das benutzt die infizierte Datei https://www.dslr-forum.de/clientscript/vbulletin_md5.js zum clientseitigen (d.h. im Browser durchgeführten) Hashen des Passwortes.

Nur wenn man eingeloggt ist, wird nirgendwo ein Login-Formular angezeigt und deshalb wird man dann auch nicht mit Drive-By-Downloads bombardiert.

 

[photonenfänger]

komischerweise scheint mein rechner immun. mein kasper melder nix, und von dieser nike-seite wird auch nix geladen. adaware und co finden ebenfalls nix. kann das alles vielleicht mit einer bereits länger zurückliegenden infektion der systeme mancher user zu tun haben? ich meine damit, dass ein trojaner in den usersystemen aktiv wird, wenn sie das forum besuchen? bin wahrlich kein hacker, könnte mir sowas aber vorstellen....

gruß

alex

 

[CarstenHH]

@photonenfänger

kannst ja die datei
https://www.dslr-forum.de/clientscript/vbulletin_md5.js
mal selbst aufrufen und schaust mal, was am ende steht und rufst den link mal direkt auf.......aber auf eigene gefahr......ich habe gerade mal meinen scanner damit getestet......hat geklappt...

 

[Gast_99693]

komischerweise scheint mein rechner immun.

Wenn der Angreifer derselbe wie neulich ist, benutzt er höchstwahrscheinlich eine Java-Lücke. Wenn Du gar kein oder ein aktuelles Java-Plugin hast, dann sollte auch nichts passieren.

mein kasper melder nix

Hast Kaspersky sowas wie Intrusion Prevention auf HTTP-Protokoll-Ebene? Falls nicht, dann wird der Angriff an sich nicht erkannt, läuft aber wegen fehlender Sicherheitslücke im Browser ins Leere. Und weil deshalb auch kein Virus/Trojaner geladen wird, springt dann der Virenscanner auch nicht an. Dumm ist es dann nur, wenn eine entsprechende Sicherheitslücke vorhanden ist UND der Virenscanner den Virus/Trojaner nicht erkennt.

Nur Security-Suites mit Intrusion Prevention (z.B. NIS) erkennen zusätzlich noch die Angriffsmethode an sich - unabgängig vom Inhalt, der dann später nachgeladen werden soll, und unabhängig vom Patchlevel und Sicherheitslücken des Browsers. Das ist halt ein doppeltes Sicherheitsnetz... sollte die Angriffsmethode unbekannt sein, springt als zweite Instanz immer noch der Virenscanner an, wenn die Datei auf Platte geladen werden soll ... sollte der Virus/Trojaner unbekannt sein, springt vorher die Intrusion Prevention an, so dass der Download blockiert wird, ehe der Virus/Trojaner vom Virenscanner für harmlos befunden wird. Nur falls beide Instanzen versagen, hat man Pech gehabt. Es sei denn, die dritte Instanz, nämlich ein aktuell gepatchter Browser ohne Zero-Day-Exploits (ja, haha, ich weiß) lässt es erst gar nicht soweit kommen, dass der Angriff/Download funktioniert.

Ich will hier keine Werbung für NIS (Norton Internet Security) machen, aber meiner bescheidenen (nicht-wirklich-Sicherheitsprofi-) Meinung nach sollte Intrusion Prevention als zusätzliches Sicherheitsnetz immer dabei sein. Es müssen dann immerhin alle drei Instanzen versagen, damit Malware auf die Platte findet: Sicherheitslückenfreier Browser, Intrusion Prevention und Virenscanner.

Übrigens: Firefox hat wenn ich es richtig verstanden habe so eine Art "Intrustion Prevention Light", weil er sich von google (?) immer regelmäßig eine Liste von bekannten Malware-Sites zieht. Also keine Prüfung des Verhaltens der Webseite wie bei einer echten Intrustion Prevention, aber immerhin werden bekannte Seiten blockiert. Beim direkten Aufruf kommt dann diese dunkelrote Warn-Seite. Ich bin mir aber nicht sicher, ob das auch bei solchen Drive-By-Downloads mit tief eingebetteten JavaScript-Sauereien funktioniert.

So... Vortrag Ende

 

[CarstenHH]

schön erklärt......

 

[photonenfänger]

@starscape: das muss ich erstmal verdauen

@carsten: hab den link schon angeklickt, allerdings innerhalb meiner bitbox, passiert ist....nix. aber zugegeben, außerhalb will ichs garnicht erst versuchen...

 

[CarstenHH]

ne, den link kannste anklicken, da öffnet sich nur die scriptdatei aus dem forum, zumindest bei mir so, ich konnte auch gemütlich zum ende scrollen und den externen link ansehen und kopieren und aufrufen.....aua.....

ähmmm.....aber nix garantie das nicht doch vorher schon was passiert.....wenn du nicht sicher bist....lieber lassen.

so, georgius hab ich auch noch informiert und benson auch, aber keine reaktion.
hier fehlt ein frühwarnsystem

 

[CarstenHH]

So, ein Super-Moderator ist informiert und weiß bescheid.

 

[Frank rekcäR]

Nein, ich glaube nicht. Dass es im ausgeloggten Zustand immer kommt, liegt daran, dass dann oben rechts immer ein kleines Login-Formular eingeblendet wird, und das benutzt die infizierte Datei https://www.dslr-forum.de/clientscript/vbulletin_md5.js zum clientseitigen (d.h. im Browser durchgeführten) Hashen des Passwortes.

Nur wenn man eingeloggt ist, wird nirgendwo ein Login-Formular angezeigt und deshalb wird man dann auch nicht mit Drive-By-Downloads bombardiert.

Danke, das leuchtet ein. Mögest du Recht haben

 

[Lugias Crusader]

etliche vB-Boards haben das gleiche "Problem".

Dann wird es Zeit für wbb, phpbb oder oder oder Gibt ja genug Auswahl - einfach die "beste" raussuchen, die aktuell weniger Lücken hat. *lach*

Aber scheint gerade ein lohnenswertes Ziel zu sein, das DSLR-Forum... hmmm hmmm, mal schauen wie das sich in Zukunft entwickelt und ob das Forum dank "Dauerangriffe" nur noch über eine VM besucht wird


Liebe Grüße,
Kevin.

/edit: Jetzt steht ja was anders in der JS-Datei *lach*

hXXp://hot-nike.co.be/vfe.php?vwq=ca11b58a4be224e8

Hot-Nike ... rofl, was für ein blöder Domainnamen sich Hacker da aneignen ...


/edit2:

Bin Dauereingeloggt und nutze No-Script, daher dürfte mein System soweit sauber sein (hab schon bzgl. Rootkits gesucht).

 

[Dumdi]

Die letzten male hatte ich nichts, aber jetzt wird bei mir auch was angezeigt, anbei ein Screenshot.

 

[Kuenne]

Bei mir auch

Hot-Nike.co.be.