wieder iframe attacke.....

[4zap]

War Showscript jetzt der eigentliche Schadcode, oder war im Showscript wieder ein Iframe?

Ich hab es gestern eindeutig als iFrame Einbindung identifiziert. Wer in den Quelltext schaute konnte auch sehen von woher was eingebunden werden sollte. Da ich hier tagsüber in einer absoluten Sicherheitsumgebung sitze kann meinem Rechner nix passieren aber es läuten alle Alarmglocken. Ich bin hier in dem Laden auch für die Onlien Forensik zuständig daher seh ich sowas sofort.
Der iFrame war m. E. nur ein oder zwei Minuten aktiv. Danach war die Einbindung wieder verschwunden und alles lief wieder normal.

 

[Georgius]

Kannst Du uns sagen wie so eine "absoluten Sicherheitsumgebung" aussieht.

 

[4zap]

Kannst Du uns sagen wie so eine "absoluten Sicherheitsumgebung" aussieht.

Ich sitze in der Firma nicht direkt am Internet. Dazwischen versteckt sich eine DMZ (demilitarisierte Zone) zwischen zwei Hardwarefirewalls in der Internet Accelaration Server den Internetverker im Vorfeld schon auf schadhaften Code, Viren und sonst. Gesockse kümmert und abblockt. Das betrifft den HTTP Verkehr wie auch Emails etc. Dann erst landen die Datenpakete in internen Netzwerk.

Aktive Scriptsprachen wie Javascript, Flash sind deaktiviert. Java hab ich eh nirgends installiert. Also die üblichen Einfallstore für Malware und ähnliches sind bei uns nicht vorhanden.

Meistens sitze ich sogar noch vor einem virtuellen Rechner die in irgendeiner MS oder Linux Umgebung laufen. Selbst wenn sich dort etwas einnistet juckt mich das nicht. Nach einem Neustart ist alles wieder beim alten dank Snapshots, d.h. das System wird immer mit best. Parametern gestartet und wird nicht verändert. Neustart und alles is wieder beim Alten.

Zum Großteil laufen hier nur Microsoft spezifische Lösungen und Umgebungen, die sich für den privaten Bereich nicht lohnen würden. So ein Struktur frisst mal schnell einige tausend Euro auf.

Aber privat verzichte ich auch auf Flashplayer (nur bei Bedarf an) und Javascript. Dadurch werden Webseiten oft falsch dargestellt, aber lieber falsch als böse


.... IDS und IPS (Intrusion Detection) läuft auch noch mittedrin.....


das Hauptproblem bei sowas liegt meist auf OSI Layer 8

 

[Blumeundbiene]

Das Problem ist, dass man oftmals ohne die Scriptsprachen aufgeschmissen ist. Selbst dieses Forum hier läuft nur halb, wenn man Noscript anlässt. Smilies einfügen ist z.B. nicht drin - und stattdessen, dass man ein Tooltip angezeigt bekommt wenn man mit der Maus drüber fährt wie die entsprechenden "Codes" sind, sehe ich nur Umschreibungen mit nicht umgewandelten Umlauten. Nein, ich kann die Dinger nicht auswendig...

 

[fewe]

Ich bin hier in dem Laden auch für die Onlien Forensik zuständig daher seh ich sowas sofort.

Aha so ist das. Dann habe ich Dir unrecht getan und entschuldige mich dafür!

 

[fewe]

Das Problem ist, dass man oftmals ohne die Scriptsprachen aufgeschmissen ist.

Ja, so ist das leider. Ich habe bei mir praktisch nur JavaScript, Flash und Shockwave aber kein Java. Dazu verwende ich als Browser Opera, bei dem man sehr Vieles abschalten kann. Das geht so einigermaßen. Es gibt allerdings nach wie vor etliche Websites, bei denen die Grundfunktionen - beispielsweise Menü - ohne Java nicht funktionieren.

Ich hatte zum Glück bislang keinen Virus und nur einmal einen recht leicht entfernbare Schadsoftware, die den Rechner immer wieder runtergefahren hatte aber sonst nichts angerichtet hatte.

Manches lässt sich nur mit JavaScript lösen, aber eine Website sollte - wenn auch etwas umständlicher - auch ohne JavaScript nutzbar sein. Entbehrlich finde ich es, wenn normale Weblinks über JavaScript arbeiten. Das ist in den allermeisten Fällen unnötig und sperrt damit jeden simplen Browser aus.

 

[Spider-Schwein]

Kann es sein, dass heute ca. um 9:39Uhr wieder ein iFrame eingebunden war?

 

[scorpio]

Kann es sein, dass heute ca. um 9:39Uhr wieder ein iFrame eingebunden war?

Nein.

 

[Spider-Schwein]

Nein.

Ah ok stimmt, ich habe meinen Fehler gefunden.
Der Schadcode wurde über admxs geladen, aber mein Router blockiert auch die Adresse "adnxs", wie es gerade wieder passiert ist, obwohl nur admxs eingetragen ist... Muss wohl ein Fehler im Router sein.

 

[saiboT]

Im Moment wird oben links über dem DSLR-Forum Logo wieder ein IFRAME eingebeldet, der mir da so noch nie aufgefallen ist. Werbemaßnahme oder Attacke?

Das Ding verlinkt auf

...zensiert...

Das ich nicht weiss was es ist: NICHT ANKLICKEN

 

[Graukater]

Kann ich bestätigen, ist mir auch gerade aufgefallen - da solche Scherze bei mir geblockt werden. Die unerwünschte I-Frame-Einblendung befindet sich im Forums-Header noch vor dem Logo oben links.

[EDIT] Und schon hat der Spuk wieder ein Ende...

Gruß, Graukater

 

[scorpio]

Sollte nun weg sein.

 

[Graukater]

Ist es. Wenn ich es richtig gesehen habe, war es Teil (ganz am Ende) der CSS-Stylesheet-Einbindung - falls das bei der Ursachenforschung helfen sollte.

Gruß, Graukater

 

[scorpio]

Ist es. Wenn ich es richtig gesehen habe, war es Teil (ganz am Ende) der CSS-Stylesheet-Einbindung - falls das bei der Ursachenforschung helfen sollte.

Gruß, Graukater

Danke, habe ich gesehen.

 

[karlomat]

Ist wieder da. :/

 

[EsBu]

Noch isses ja harmlos...

 

[Graukater]

Ja, die Angriffe auf das Stylesheet halten an - im Augenblick wird offenbar mit verschlüsseltem Javascript experimentiert. Wäre gut, wenn Ihr mal das Einfallstor lokalisieren könntet... (Wer zum Henker bekommt Schreibzugriff auf die vBulletin-includes? )

Gruß, Graukater

 

[Gast_252254]

ich weis schon warum ich Foren generell nur mit einem "sicheren Browser" (Sandbox ohne jegliche Schreibrechte) benutze.

 

[scorpio]

Bitte hört auf, den Code zu posten!

 

[Phiarc]

Langsam könnte man das Forum ja aufs CPPCMS portieren, in derem evil input processing gabs noch keine Lücke (Wobei das Forum dann auch auf einem Pentium III Server mit 256 MB RAM laufen dürfte)

Ich finds ja sehr bezeichnend für Jelsoft/Internet Brands, dass sie es nach selbst nach zich Monaten noch nicht geschafft haben die Sicherheitslücke zu eliminieren. Krass. Das überhaupt noch jemand auf einen Hersteller mit so einem katastrophalen security managment setzt...