Hi

ihr seid meine letzte Hoffnung.
Ich habe ne HP ! Unrockstars.de - Die Ärzte Fan Page !, von der aus angeblich Viren gesendet werden. Ich habe alles durchgeschaut und nur auf meinem echner welche gefunden.

Ja zu meiner Frage. Wie kann es sein, dass die über meine Page verteilt werden?

hier noch mal zur bessen Beschreibung... was is das für nen IP... und mit yahoo hab ich nix am Hut!!!

Hi,

also ich habe gerade deine Seite geladen, Antivir hat gepiept wegen eines HEUR/Exploit.HTML. Hab ihn in Quarantäne geschoben, dort dann wieder rausgeholt. Es handelt sich um ein schwer verschlüsseltes Javascript, nach entschlüsseln habe ich ein HTML vorgefunden, das einen Mehrfachexploit aussieht. Es spielt unter anderem mit Java und Quicktime herum, baut einen Shellcode zusammen, und greift anscheinend auch noch den Windows Media Player an mit einer URL, die tausende Zeichen lang ist, die meisten davon Striche, den letzten kenne ich schon sehr gut, da habe ich schon einige male mit zu tun gehabt.

Ich kann dir nicht sagen, wo auf deiner Seite das Problem liegt, sie wird aus einer Menge Sachen von verschiedenen Servern zusammengebastelt, die natürlich auch in Frage kommen, da habe ich gerade nicht die Zeit, das alles zu untersuchen. Dummerweise hatte ich vergessen, vorher Wireshark zu starten. Außerdem ist bei einem erneuten Laden (mit gelöschtem Browsercache) nichts passiert, denkbar, dass meine IP geloggt wurde und der Exploit nicht mehrfach an dieselbe IP ausgeliefert wird.

Ich bin mir aber sicher, dass deine Seite infektiös ist. Deshalb nimm sie bitte vom Netz. Im Zweifelsfall kompletten Webspace (überall) löschen und die (hoffentlich sauberen) Seiten neu hochladen.

Gruß, Karl

Hi,

dein Mailprovider wollte meine Mail nicht akzeptieren, dann eben hier:

Ich bin vorhin über deine Seite gedurft und habe nichts auffälliges finden können.

Wie es dazu gekommen ist, kann ich dir leider nicht sagen. Kritisch sind z.B. interaktive Sachen, wo User Eingaben machen können, die dann von Scripten auf dem Server verarbeitet werden. Da muss der Programmierer der Scripte sehr sorgfältig jede Usereingabe prüfen, keinem Zeichen darf er trauen. Z.B. in der Box für den Newsletter könnte jemand auf die Idee
kommen, anstelle eines Namens und einer Email sehr seltsame Zeichenfolgen, vielleicht auch extrem lang reinzukopieren.

Auf solche Sachen hat man aber kaum Einfluss, wenn man seine Seite auf einem Shared Server bei Hostern wie Funpic liegen hat und fertige Bausteine nutzt, da muss man sich mit den vorgegebenen Standardkonfigurationen zufrieden geben, die durchaus fehlerhaft sein können. Ein weiteres Problem bei diesen Hostern ist es, dass auf einem Server sehr viele (locker tausende) Webseiten liegen. Wenn die jetzt ein Sicherheitsproblem haben, da kann es passieren, dass einer, nachdem er einmal eingebrochen ist, gleiche tausende Seiten infizieren kann.

Gruß, Karl