Als attackierend gemeldete Webseite! // Malware notification from Google
 

Hallo,
meine Website (Unternehmensprofil & seit 2 Jahren unverändert) soll plötzlich von "JS/Kryptic ALG" infiziert sein.

Löschen und Neuaufspielen hat den Fehler leider nicht behoben.

Was muss ich tun? Bitte um Hilfe.

Herzlichen Dank,



Hier der Fehler wie ihn inzwischen der Browser meldet:

Als attackierend gemeldete Webseite!
Die Webseite auf www.***.de wurde als attackierende Seite gemeldet und auf Grund Ihrer Sicherheitseinstellungen blockiert. Attackierende Webseiten versuchen, Programme zu installieren, die private Informationen stehlen, Ihren Computer verwenden, um andere zu attackieren oder Ihr System beschädigen.Manche Webseiten vertreiben bewusst Viren und ähnlich schädliche Software, aber viele Webseiten sind auch ohne das Wissen oder die Erlaubnis des Betreibers kompromittiert.

Nod32 Log ist angehängt.

Hi, und wie sollen wir uns die Website ansehen, wenn du das Wichtigste, nämlich den Namen unkenntlich machst?

sorry und danke für die superschnelle antwort, dachte, dass würde aus der Log datei hervorgehen? Wollte nicht, dass die seite später mal gegoogelt wird und dann verweise auf viren kommen. Soll ich es posten, oder geht es so?

ne musst schon posten, sonst kann ich sie mir nicht ansehen

Ok, hier: www.otto, friedrich, zeppelin, otto, emil.de

bitte richtig posten, , sind da sicher nicht drinnb

wenns sein muss ;), dann eben so: ofzoe | visual projects

und wie hätte ich denn mit den merkwürdigen angaben von oben, auf die seite kokmen sollen? sehs mri mal an

danke.

da es probleme geben könnte, poste ich nicht das ganze betroffene Script.
durchsuche deine htmls mal nach:
javascript" language="javascript" > bv=(5-3-1);aq="0"+"x";sp="spli"+"t";ff=String.fromCharCode;w=window;z="dy";try{document
endet auf:
</script>
evtl. gibts noch andere, die ähnlich aussehen, die müssen weg. die Seite ist mit Schadcode infiziert, also ists gut, dass Google da angeschlagen hatt.
womit erstellt ihr die Seite? (cms) etc

Ist der Programmierer oder der Provider der Ansprechpartner für das Problem?
Die Seite ist in Flash.

ich denke ist deine seite, da musst du doch wissen wer die für diich erstellt hatt?
wird aber wohl der Programmierer sein.
er sollte mal alles updaten was sich so auf der seite befindet und alle Zugangsdaten endern, rausfinden müsst ihr dann auch evtl. mal wie der in die Seite einbrechen konnte, anhand der Server bzw FTP Logs.
Zugriffsrechte von verzeichnissen und Dateien prüfen.
hast du über deinen PC administrativen Zugang. jeder PC über den dieser stattgefunden hatt, könnte zusätzlich hier auf Malware geprüft werden

Wenn der Content neu überspielt wird (also ohne die malware), müsste doch jede Veränderung am Script verschwinden?

ne, das script ist ja nicht verendert sondern neu hinzugefügt worden, wenn das im backup nicht vorhanden ist ists ok

Das sollte im Backup nicht drin sein... Deshalb waren wir verwundert, dass ein Neuaufspielen das Problem nicht gelöst hat...

dann müsst ihr, wie gesagt die von mir genannten einfallstore prüfen.
was heißt "sollte" habt ihr euch die html dateien überhaupt angesehen oder einfach nur das Backup aufgespielt?

Strange - wir prüfen das jetzt alles und dann melde ich mich wieder mit dem Ergebnis oder neuen Fragen ;) ... Und danke schon mal für den support bis hierher...

kein prob

Hallo, das Script der Landingpage ist sauber und läuft hier ohne probleme:
ofzoe | visual projects

Desweiteren sind auch zwei meiner subdomains betroffen:
www.bonanzza.de
www.klytaemnestra-pocket.de

Ich habe nun den kompletten Ordner aller Domains runtergeladen, bisher hat nod32 6 jedoch keine Viren gefunden.

In welcher Datei/en steckt denn genau das Problem aus deiner Sicht?

Es ist schon komisch, im Ordner "public_html", der laut Provider "ALLES" enthalten soll, findet nod32 nichts, aber auf der Domain schon, dass kann doch eigentlich nicht sein. Bin ratlos???

im ordner "public_html" - laut Provider der Speicherort der Domains - findet nod32 absolut nichts, aber auf der Domain schon... Bin ratlos???

diese: klytaemnestra-pocket.de geht bei mir nicht.
schau dir die index.html an, oder wie sie bei dir heißen
bonanzza.de
hatt auch so ein script.
anfang des scripts:
bv=(5-3-1);aq="0"+"x";sp="spli

Hallo Marcus, gerade habe ich noch mal nach dem Virus gegoogelt und bin direkt auf diesen Thread plus meine Domain hier geführt worden. Aus persönlichkeitsrechtlichen Gründen fordere ich deshalb die umgehende Löschung des Thread und bitte um kurze Info, dass dies auch geschehen ist.

Vielen Dank.

Das Problem war übrigens die Hetzner Online Ag, die das Problem, oder was es auch immer war, selbständig beseitigt hat.

hi, threads löschen wir nicht, aber du kannst man unseren Admin fragen ob er die Links rausnimmt, dafür aber mal auf beitrag melden.
google wird das aber trotzdem nich aus dem index nemen
außerdem hab ich mal gegoogled
ofzoe etc da hab ich deine seiteoben gefunden, nicht unsere.

Wenn man den Namen des Virus googelt, kommt dieser Thread an zweiter Stelle. Da ich ungern in Zusammenhang mit einem Virus gebracht werde, bitte ich nochmals darum den Thread zu löschen.

Peter Zawadski (pz@allnews.de), der für das Trojaner-Forum verantwortlich ist, hat leider leider auf die Mail mit Bitte um Löschung nicht reagiert. Auch die Mail (abuse@Trojaner-Board.de) mit der eine Account-Löschung laut Board offiziell veranlasst werden sollte, kam als unzustellbar zurück. Mir scheint das alles etwas seltsam.... Deshalb möchte ich unbedingt und schnell hier wieder raus ;) Ich hoffe, du verstehst das....

Mir ist auch nicht klar, warum von dir so ausdrücklich viel wert darauf gelegt wurde, dass ich meinen domainnamen so schreibe, dass ihn jedes suchmaschine bei euch findet...

Wie auch immer, bin ich, wenn alle Stricke reißen, auch erstmal froh wenn ihr alle Links in diesem Thread und vor allem auch meine hochgeladene Log-Datei löscht. Die findet Google nämlch auch.

Vielen Dank für die Mühe.

naja, vllt damit ich ihn finde, da ihr das entsprechene Script ja nicht selbst gefunden habt.
edit: hatte nämlich den anhang übersehen, sorry dafür.
du bist übrigens nich der Erste, dessen Seite man mal mit Schadsoftware infiziert hatt, das is schon bekannteren passiert :-)
gehe mal auf forum mitarbeiter, und schreibe ne nachicht an unsern admin bzw klicke mal auf beitrag melden, dann sollte das auch passen