Virus auf Buffed?

[Rethelion]

Also zur Zeit gibt es wieder die Meldung, und solange sie dort schreiben das es zu einer verdächtigen Chinesischen Seite linkt, sind die Indizien doch eigentlich klar worum es dabei geht.

Naja bisher habe ich aber keine Antwort von Kaspersky bekommen was die Datei jetzt macht und ob sie gefährlich ist. Werd mich melden wenn sie was neues schreiben.

 

[Grushdak]

Ich hab grad Kaspersky kontaktiert und die sind sich doch nicht so sicher ob es ein Fehlalarm ist:

We are not sure that this heuristic detection is false alarm, because that script invisibly redirects to some suspicious chinese site

Sry, aber irgendwie überzeugt mich deren Antwort überhaupt nicht.
Wie können die von chinesisch reden, wenn man auf eine russische Seite gelangt?

Und wie man oben auf dem letzten Bild von mir sieht - es ist fast 100% russich.
Was es nun genau ist (russische Kaspersky?)- fraglich - zumal dort z.T. englisch bei ist.

greetz

 

[Rethelion]

Sry, aber irgendwie überzeugt mich deren Antwort überhaupt nicht.
Wie können die von chinesisch reden, wenn man auf eine russische Seite gelangt?

Und wie man oben auf dem letzten Bild von mir sieht - es ist fast 100% russich.
Was es nun genau ist (russische Kaspersky?)- fraglich - zumal dort z.T. englisch bei ist.

Wie genau bist du auf die Seite gekommen? Hast du evtl in Kaspersky auf den Informationen-Button geklickt?
So wie ich das sehe ist das die russische Seite von Viruslist.com; links oben kanns du auch die Sprache einstellen. Ich denk mal Kasersky wollte in ihrere Datenbank den Infoeintrag zu dem Trojaner öffnen, die gibts aber nicht und deshalb bist du auf diese Seite gekommen.

 

[Grushdak]

Ja, ich habe im Warnfenster von Kaspersky geklickt.

ps.

Habe gerade im Kaspersky-Forum gelesen, daß es so etwas sehr Ähnliches schon mal anfang 2009 gab.
Da handelte es sich um ein Script, welches anscheinend die Werbung benutzte.
Es ist schädlich, hatte sich durch eine Sicherheitslücke eingeschleust.

Quelle: -> HEUR: Trojan.Script.Iframer gefunden

Daher würde ich doch bitten, mal sämtliche Werbung zu überprüfen!

Solange ich jetzt hier bei Buffed bin - solche Probleme hatte ich hier noch nie!

 

[Irn-Bru]

bekomme die Warnmeldung nicht mehr (13Uhr), allerdings ist auch diese komische Werbung "Herzlichen Glückwunsch sie sind der 100000000000 Besucher" nicht mehr da....

 

[Mooni29]

Also bei mir sprang kaspersky nicht an... aber könnte es sein das dieser Virus irgednwas mit Runes macht??..... weil vor ein oaar tagen sind einfach rüßi items verschwunden...

 

[Rethelion]

Also bei mir sprang kaspersky nicht an... aber könnte es sein das dieser Virus irgednwas mit Runes macht??..... weil vor ein oaar tagen sind einfach rüßi items verschwunden...

Das liegt daran, dass das Script wieder nicht mehr auf dem Server liegt. Ich habs mal abgespeichert und mir dann Kaspersky installiert, dann wird da auch ein Trojaner gefunden. Komisch nur das kein anderes Programm drauf anspringt.

 

[ZAM]

Das liegt daran, dass das Script wieder nicht mehr auf dem Server liegt. Ich habs mal abgespeichert und mir dann Kaspersky installiert, dann wird da auch ein Trojaner gefunden. Komisch nur das kein anderes Programm drauf anspringt.

Hi,

du hast das Script noch? Kannst du es zufällig schicken? Weil weder Kaspersky 2010 meldet was noch ist die in der Meldung genannte Datei auf dem Server auffindbar, geschweige denn hat das fileadmin-Root-Verzeichnis irgendwelche Rechte, dass der Webserver da was ablegen könnte.Wenn du die Datei also hast, wäre es nett, wenn du sie irgendwo ablegst oder an support@buffed.de schickst - bei einer "Infektion" könnte die Mail dann aber möglicherweise nicht ankommen.

Auch wenn einige Virenscanner das nicht melden, nehmen wir das durchaus ernst.

 

[Scharamo]

Also ich hatte gesten als ich www.buffed.de besucht habe von meinem Kasperky eine Warnung erhalten das ein Trojana geblogt wurde.

Vorher noch nie gehabt...

 

[Grushdak]

ZAM, oben ist ein Link zum Kasperskyforum, wo es anscheinend genau um diesen Schädling geht.
Da ist auf Seite 2 auch das Script gepostet - zumindest ein entscheidender Teil.
Da der Schädlingsname derselbe ist, könnte das Script identisch mit dem Jetzigen hier sein.

greetz

 

[Rethelion]

Hi,

du hast das Script noch? Kannst du es zufällig schicken? Weil weder Kaspersky 2010 meldet was noch ist die in der Meldung genannte Datei auf dem Server auffindbar, geschweige denn hat das fileadmin-Root-Verzeichnis irgendwelche Rechte, dass der Webserver da was ablegen könnte.Wenn du die Datei also hast, wäre es nett, wenn du sie irgendwo ablegst oder an support@buffed.de schickst - bei einer "Infektion" könnte die Mail dann aber möglicherweise nicht ankommen.

Auch wenn einige Virenscanner das nicht melden, nehmen wir das durchaus ernst.

Ich schick euch gleich per Email die Datei und schreib euch noch was dazu.
Muss es nur noch schaffen das Teil in der VM wiederherzustellen^^

EDIT: Ist raus

 

[Mooni29]

Hmmm komiach ich habe gestern mit Kaspersky eine Virensuche gemacht und KEINE meldung bekommen.....glaube auch das es eine fehlmeldung ist

 

[ZAM]

Ich schick euch gleich per Email die Datei und schreib euch noch was dazu.
Muss es nur noch schaffen das Teil in der VM wiederherzustellen^^

EDIT: Ist raus

Hi,





Email ist angekommen, danke dafür.

Der Code ist eigentlich recht simpel aufgebaut - generiert ein Iframe und nutzt eine bekannte Javascript-Packing-Function, um sich zu cloaken. Die Frage jedoch ist - WOHER SOLL DAS KOMMEN?. Aus irgend einem Werbe-Banner aus der Rotation um die angesprochene Uhrzeit? Ich kann es persönlich nicht nachvollziehen - weder eine Datei noch ein Verzeichnis mit dem Namen /buffed-small/ existiert auf dem Server und in dem in der Meldung angegebene Root-Pfad /fileadmin/ hat der Webserver keine Schreib-/Ausführrechte. D.h. es gibt hier also zumindest nicht die Möglichkeit der Infektion über ein Upload-Formular oder serverseitige Scripte. Wir setzen uns mit Kaspersky in Verbindung, die haben sicher Erfahrungen mit Trojan-Iframern und deren Infektionsquellen - die Meldung muss ja durch irgendwas generiert werden, auch wenn ich bei der durch das Script eingebundenen Seite http://www.g**gl*st*m*.com/ads.asp (noch!) keine Gefahr erkennen konnte.



Gruß

 

[doryzwei]

also falls es hilft, auf dem von mir gemachtem screenshot ist ja die von buffedforum gezeigte uhrzeit zu sehen und der teil der geblockt wurde auch. ob es bei anderen nen werbefenster war kann ich nicht sagen, da ich adblock nutze und da werbung komplett nicht geladen wird.

 

[ZAM]

Ich hab die Seite gestern nach 0:00 mehrmals besucht - Kaspersky 2010 aktiv - und keine Meldung bekommen - auch tauchte die bisher gemeldete Datei nicht in dem genannten Verzeichnis auf.

 

[Zapfle]

Ich nutze Kaspersky Internet Security 2010 und bei mir kam die letzte Meldung davon am 24.10. um 01:23 Uhr. Danach hatte ich nachts erstmal nicht wieder die Buffed-seite besucht, sonderns nur noch tagsüber, da die meldung etwas nervig war.

 

[Rethelion]

Ich hab die Seite gestern nach 0:00 mehrmals besucht - Kaspersky 2010 aktiv - und keine Meldung bekommen - auch tauchte die bisher gemeldete Datei nicht in dem genannten Verzeichnis auf.

Also ich hab das Skript jetzt auch seit 2 Tagen nicht mehr gesehen, vll haben wir da eine finstere Aktion vereitelt^^

 

[Redryujin]

Ich hab die Seite gestern nach 0:00 mehrmals besucht - Kaspersky 2010 aktiv - und keine Meldung bekommen - auch tauchte die bisher gemeldete Datei nicht in dem genannten Verzeichnis auf.

Sehr seltsam bei mir kam nur einmal die Nachricht und das war am 23. 10. 2009 um 11:06:34

Das heißt bei mir war es Tagsüber.

In der Datei 'C:\Dokumente und Einstellungen\Ryujin\Lokale Einstellungen\Temporary Internet Files\Content.IE5\YSYWNCPR\buffed-small[1].js'
wurde ein Virus oder unerwünschtes Programm 'HEUR/HTML.Malware' [heuristic] gefunden.
Ausgeführte Aktion: Zugriff verweigern

Seit damals habe ich keine einzige Meldung mehr bekommen.

 

[-oLaZ-]

Grade eben wieder bekannte Meldung von kaspersky antivirus 2010 erschienen.

 

[Warzone]

bei mir auch gerade:

30.10.2009 03:13:01 Gefunden: HEUR:Trojan.Script.Iframer Firefox http://www.buffed.de/fileadmin/buffed-small.js

grüßle