Zurück   Trojaner-Board > Malware entfernen > Überwachung, Datenschutz und Spam

Überwachung, Datenschutz und Spam: Facebook Trojaner? Skript analyse-->PHP/Javascript

Windows 7 Fragen zu Verschlüsselung, Spam, Datenschutz & co. sind hier erwünscht. Hier geht es um Abwehr von Keyloggern oder aderen Spionagesoftware wie Spyware und Adware. Themen zum "Trojaner entfernen" oder "Malware Probleme" dürfen hier nur diskutiert werden. Benötigst du Hilfe beim Trojaner entfernen oder weil du dir einen Virus eingefangen hast, erstelle ein Thema in den oberen Bereinigungsforen.

Antwort
Alt 12.10.2011, 01:14   #1
Dschoni
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



Okay liebe Leute, ich hab kein wirkliches Problem aber nen Interessanten Schnipsel code auf Facebook gefunden, gleich mal Javascript deaktiviert und alles in einer Sandbox durchgespielt. Jetzt hänge ich an einer Stelle, an der ich nicht weiterkomme.

Ich schildere mal das Szenario, vielleicht gibt es jemanden, der sich dafür Interessiert und mir weiterhelfen möchte.

VORSICHT: Folgende Links könnten potentiell gefährlich sein und wurden mit rechteckigen Klammern entschärft.

Ich erhielt heute eine Nachricht über Facebook die nur folgenden Link enthielt:

hxxp://www[punkt]weread.in.th/wp-content/uploads/img[punkt]php?l=IMG87257.JPG

Mit deaktiviertem Javascript und einer kurzen Skript Analyse steckt da folgender code dahinter:
Code:
ATTFilter
<html><head></head><body><script type="text/javascript">document.location.replace("http:\/\/www.weread.in.th\/wp-content\/uploads\/img.php?l=IMG87257.JPG");</script><script type="text/javascript">setTimeout("(new Image()).src=\"\\\/laudit.php?r=JS&u=http\\u00253A\\u00252F\\u00252Fwww.weread.in.th\\u00252Fwp-content\\u00252Fuploads\\u00252Fimg.php\\u00253Fl\\u00253DIMG87257.JPG\";",5000);</script></body></html>
         
Ein Schelm, der böses dabei denkt, aber da will doch jemand was nachladen auf meinen PC oder?
Zusätzlich hab ich noch eine *.jpg.scr Datei gefunden die auf dem oben angegeben host liegt:

hxxp://www.weread[punkt]in.th/wp-content/uploads/IMG863789538[punkt]JPG.scr

Was tut dieser Skript? Die jpg.scr Datei liefert mir in der Sandbox die Ausgabe: "Modifed by SklavenTrieb and Helge, do not fuck with us!

YOU GOT OWNED!"

Aber war das alles?
Liebe Grüße

Dschoni

Alt 14.10.2011, 11:17   #2
Dschoni
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



Also die Antwort war nicht die die ich mir erhofft hatte.
Ich bin mir sicher, dass ich keinen Virus oder Trojaner eingefangen habe, weil ich den ganzen Vorgang in einer Sandbox (abgeschlossenen virtuellen Maschine) durchgeführt habe. Folglich brauche ich mein Produktivsystem auch nicht zu scannen, weil des damit gar nix zu tun hat. Ich hatte gehofft, jemand kann mir einen Tipp geben, wie man den *.scr code weiter entschlüsselt. Aber dafür bin ich vielleicht hier falsch...Trotzdem vielen Dank dir.
__________________


Alt 14.10.2011, 12:04   #3
markusg
/// Malware-holic
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



lustig, wenn man sich die datei im editor ansieht:
Modifed by SklavenTrieb and Helge, do not fuck with us!

YOU GOT OWNED!
also entweder hier wurde mal malware verteilt und einer hatts gelöscht, oder ich verstehe den sinn nicht
__________________
__________________

Alt 14.10.2011, 12:07   #4
Dschoni
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



Ja, Freunde von mir haben berichtet, dass diese Datei beim ausführen nachrichten per FB weiterschickt, allerdings konnte ich (außer erwähnter nachricht) keinen ausführbaren code finden....
Noch ne Idee?

Alt 14.10.2011, 12:11   #5
markusg
/// Malware-holic
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



das sieht mir aber eig nicht nach ner ausführbaren datei aus, sondern nach ner textdatei

die img.php?
funktioniert bei mir schon gar nicht, ich hab nur die eine datei genommen die im upload ornder zu finden ist.
da ist nur eine datei vom 12.10 drinnen, 4 kb und mit dem von mir zitiertem text

__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet

Alt 14.10.2011, 12:12   #6
Dschoni
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



hmm, hatte der vielleicht ne Selbstzerstörungsfunktion....muss aber ein fieses Teil gewesen sein, haben sich viele eingefangen. Auch hier im Board...

Alt 14.10.2011, 12:15   #7
markusg
/// Malware-holic
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



aber nicht alle von der url.
mal an den hoster ne abuse mail schreiben damit die domain offline genommen wird, aber mit domain inhabern in Thailand habe ich keine guten erfahrungen gemacht bisher, aber probieren kann man es.
__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet

Alt 14.10.2011, 12:16   #8
Dschoni
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



Durchsuch hier das Board mal nach Facebook trojaner, img.scr undsoweiter, scheint von mehreren Seiten zu kommen.

Alt 14.10.2011, 12:22   #9
markusg
/// Malware-holic
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



ja das wissen wir selbst, wir löschen sie ja die ganze zeit :-)
nur ist bei der von dir genannten url im moment keine facebook malware mehr, aber die url wurde gehackt denke ich, deswegen werde ich trotzdem schauen dass man sie abgeschaltet bekommt.
hast du ne spezielle seite wo der von dir genannte code eingefügt wurde oder hast du das von facebook, evtl. sende mir mal weitere infos wie herkunft des codes mit link als private nachicht.
__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet

Alt 21.10.2011, 10:28   #10
Dschoni
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



So, hab den Quelltext gefunden, werde ihn aus Sicherheitsgründen nicht hier auf dem Board posten, aber wer ihn haben möchte, gern per PM melden.
Mittlerweile schlagen doch schon 4 Scanner an und melden

McAfee-GW-Edition 2010.1D 2011.10.21 Heuristic.LooksLike.Win32.Suspicious.J!87

SUPERAntiSpyware 4.40.0.1006 2011.10.21 Trojan.Agent/Gen-Injector

Symantec 20111.2.0.82 2011.10.21 Suspicious.Cloud.5


VIPRE 10828 2011.10.21 Trojan.Win32.Generic.pak!cobra

Grüße Dschoni

Alt 21.10.2011, 15:16   #11
markusg
/// Malware-holic
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



ich denke das ist ne neue datei.
inzwischen sollten mehr scanner anschlagen, url hab ich auch eingesendet, e-mail des besitzers funktioniert nicht, hoster ist angeschrieben, mal sehen :-)
__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet

Alt 25.10.2011, 14:10   #12
Dschoni
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



hxxp://www.fionagh-bennet-music.co.uk/swf/img.php?l=IMG077306.JPG

Da ham wir noch einen.
Ist das selbe File, wie schon im vorherigen Post. 88 kb. Ausführbar. Code nicht geändert....Da muss man doch was tun können?

Alt 25.10.2011, 14:12   #13
Dschoni
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



Hat da jemand schon ein Removal Tool? Wäre glaub für ne größere Gruppe interessant.

Alt 25.10.2011, 14:58   #14
markusg
/// Malware-holic
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



nen tool gibts da nicht, da es nicht immer die selbe malware ist.
seite wurde aber gespert, das abuse team hat sehr schnell reagiert.
malware hab ich mir vorher noch gehohlt und eingesendet.
__________________
-Verdächtige mails bitte an uns zur Analyse weiterleiten:
markusg.trojaner-board@web.de
Weiterleiten
Anleitung:
http://markusg.trojaner-board.de
Mails bitte vorerst nach obiger Anleitung an
markusg.trojaner-board@web.de
Weiterleiten
Wenn Ihr uns unterstützen möchtet

Alt 25.10.2011, 17:43   #15
Dschoni
 
Facebook Trojaner? Skript analyse-->PHP/Javascript - Standard

Facebook Trojaner? Skript analyse-->PHP/Javascript



Hmm...ich glaube schon dass es jedesmal die gleiche malware ist. Hab dieselbe Datei hinter den Links gefunden. Mehrmals. Also zumindest sagt mein Bitweiser Dateivergleich dass die Dateien identisch sind

Antwort

Themen zu Facebook Trojaner? Skript analyse-->PHP/Javascript
analyse, code, datei, deaktiviert, facebook code php javascript, facebook trojaner, folge, folgende, folgender, gefährlich, heute, html, image, interessante, javascript, kurze, leute, liefert, links, nachricht, not, problem, skript, stelle, trojaner, trojaner?, weiterhelfen



Ähnliche Themen: Facebook Trojaner? Skript analyse-->PHP/Javascript


  1. Trojaner über JS-Skript installiert
    Plagegeister aller Art und deren Bekämpfung - 13.08.2015 (19)
  2. Ein Skript auf dieser Seite ist eventuell beschäftigt oder es antwortet nicht mehr. Sie können das Skript jetzt stoppen, im Debugger öffnen
    Plagegeister aller Art und deren Bekämpfung - 20.09.2014 (7)
  3. Hintergrund: Hase & Igel: Skript-Analyse ausgetrickst
    Nachrichten - 08.09.2014 (0)
  4. Firefox Meldung: Skript antwortet nicht: skript: chrome://updatescan/content/scan.js:189
    Plagegeister aller Art und deren Bekämpfung - 18.07.2014 (7)
  5. Win 7 - Firefox langsam und Skript-Warnmeldungen - Folge von GVU-Trojaner ?
    Log-Analyse und Auswertung - 17.01.2014 (9)
  6. GVA Trojaner - OTL Log Analyse gewünscht
    Log-Analyse und Auswertung - 28.01.2013 (3)
  7. GVU Trojaner - OTL Log Analyse gewünscht
    Log-Analyse und Auswertung - 26.01.2013 (11)
  8. BKA Trojaner 1.3 OTL Analyse Windows XP
    Plagegeister aller Art und deren Bekämpfung - 17.09.2012 (9)
  9. GVU Trojaner - bräuchte Skript für Otl
    Plagegeister aller Art und deren Bekämpfung - 15.08.2012 (12)
  10. GVU Trojaner 2.07 - Logfile Analyse
    Log-Analyse und Auswertung - 31.07.2012 (3)
  11. Trojaner Analyse
    Plagegeister aller Art und deren Bekämpfung - 27.07.2012 (7)
  12. GEMA - Trojaner entfernt - Log Analyse
    Log-Analyse und Auswertung - 11.05.2012 (1)
  13. Windows Verschlüsselungs Trojaner - otl.txt zur Analyse
    Log-Analyse und Auswertung - 06.05.2012 (3)
  14. Facebook-Trojaner: vinamost.net/images/facebook/get.php?image=IMG39348819.JPG
    Log-Analyse und Auswertung - 21.11.2011 (42)
  15. Drive by Download. JavaScript ausgeführt.. auf Facebook
    Plagegeister aller Art und deren Bekämpfung - 17.11.2011 (32)
  16. Zuerst Facebook-Virus-Neu aufgesetzt,cpu Auslastung 100%,bei Facebook-Games extrem lahm!
    Log-Analyse und Auswertung - 03.02.2011 (11)
  17. Skype - Facebook Virus foto :P h**p://facebook.twitterbizzer.com/member_profile.php
    Plagegeister aller Art und deren Bekämpfung - 27.08.2010 (6)

Zum Thema Facebook Trojaner? Skript analyse-->PHP/Javascript - Okay liebe Leute, ich hab kein wirkliches Problem aber nen Interessanten Schnipsel code auf Facebook gefunden, gleich mal Javascript deaktiviert und alles in einer Sandbox durchgespielt. Jetzt hänge ich an - Facebook Trojaner? Skript analyse-->PHP/Javascript...
Archiv
Du betrachtest: Facebook Trojaner? Skript analyse-->PHP/Javascript auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.