Forum schon wieder verseucht ?

[Ub00t]

Ui nun auch zum allererstenmal bei mir das iframe ist deutlich links oben am logo zu sehen

 

[Siggi242]

Bei mir hat er beim Seitenaufbau merkwürdige Sachen geladen und die Java- Konsole angeschmissen. Da ich wenig Schimmer habe- was ist zu tun? Lasse gerade Antivir rüberölen.

 

[dokape]

Ich kann es bestätigen, auch bei mir meldet sich AVG mit einer Bedrohung.

Vorschlag: Forum schnellstens vom Netz nehmen!

 

[Torsten_HB]

Allerdings hat die neueste Version nicht unbedingt die gleiche Systemstabilität wie die "ältere" - ein Umstand, worauf ein großes und auf Hochverfügbarkeit ausgerichtetes Forum tunlichst achten muss.

LG Steffen

Ist das so? http://forums.vwvortex.com/

 

[Torsten_HB]

Ich kann es bestätigen, auch bei mir meldet sich AVG mit einer Bedrohung.

Vorschlag: Forum schnellstens vom Netz nehmen!

Gegenvorschlag: Browser in die Sandbox

 

[Torsten_HB]

Bei mir hat er beim Seitenaufbau merkwürdige Sachen geladen und die Java- Konsole angeschmissen. Da ich wenig Schimmer habe- was ist zu tun? Lasse gerade Antivir rüberölen.

Wenn du damit fertig bist, Antivir in die Tonne und AVAST! installieren. Es kann auch nichts schaden, wenn du dann noch ThreatFire und Sypybot - Search & Destroy installierst...

 

[Thunderclap]

Scheint wieder alles erfolgreich entfernt zu sein... Bleibt die Frage wie lange das so bleibt

 

[Xin]

Das IFrame wurde eliminiert.


Der Code wurde direkt vor das Logo ins Header-Template gebastelt. Problem: Im Header-Template ist der Code nicht zu finden. Im Quelltext steht er aber.
Speichert man das Template einfach ohne Änderungen neu ab, ist das IFrame weg.

Und nun die Preisfrage, die niemand beantworten kann: Wie kommt der Mist da hin?
Dateien wurden - wie beim ersten Mal am 1.Mai - nicht verändert, in den Logs steht nichts, die Datei-Überwachung wirft auch nichts aus, die vB-Dateien sind alle ok. Direkt über die Server kommt auch nichts, alle Zugangspasswörter wurden in den letzten Wochen mehrfach geändert.


Was zum Geier passiert da?

Hast du die Datenbank auch überprüft?

 

[scorpio]

Hast du die Datenbank auch überprüft?

Die Datenbank hat damit nichts zu tun und wird auch nicht angetastet.

 

[Torsten_HB]

Die Datenbank hat damit nichts zu tun und wird auch nicht angetastet.

Schon mal über eine SQL-Injection nachgedacht?

 

[Xin]

Die Datenbank hat damit nichts zu tun und wird auch nicht angetastet.

Dir ist aber schon klar, dass da ggf. was eingetragen sein kann was das ganze immer und immer wieder einträgt?

 

[scorpio]

Das ist uns alles klar, ja. Da ist aber nichts.
Es muss auf irgend einem Weg der Template-Cache manipuliert werden. Aber wie?

 

[Thunderclap]

Schon mal über eine SQL-Injection nachgedacht?

Da oben im Header kommt keinerlei Inhalt aus der Datenbank...

Per SQL-Injection könnte man Inhalte manipulieren die tatsächlich auch aus der DB kommen, der Header steht aber im Template (=ASCII-File)!

@Scorpio:
Kann man den Template-Cache vom Forum deaktivieren, so dass die Forensoftware direkt auf das Template zugreift? Das Forum wäre so etwas langsamer, aber eine Mögliche Lücke könnte geschlossen werden...

 

[sam fisher]

ist denn bekannt, ob bzw. welche Schäden verusacht wurden?
Hatte vorhin auch Porbleme beim aufrufen dieses Forums. Danach wurden mir alle Logins rausgeschmissen. Außerdem wurde auf dem Desktop eine .exe Datei angezeigt, war aber gleich wieder weg. Antivir hat nichts gemeldet.

 

[UliBär]

Es muss auf irgend einem Weg der Template-Cache manipuliert werden. Aber wie?

*Das* ist doch mal eine äußerst interessante neue Aussage!

Dann ergibt es nämlich auch Sinn, daß durch ein simples (neues) Abspeichern der eigentlich *unveränderten* Datei die Manipulation beseitigt wird. Aufgrund des aktuelleren Dateidatums wird der Inhalt des Caches durch den aktuellen (aber unveränderten) Dateiinhalt ersetzt. Was sagt den vBulletin zu diesen Neuigkeiten?

Übrigens mein Verdacht für das Einfallstor:
Das Interface, über das interaktiv externe Werbung im Forum eingeblendet wird...

 

[Thunderclap]

ist denn bekannt, ob bzw. welche Schäden verusacht wurden?

Wie immer in letzter Zeit:
Schäden am Forum: keine
Schäden an den Userrechnern: Abhängig von der Absicherung zwischen Null und komplett kompromittiertes System...

Wenn du zwischenzeitlich eine unbekannte Exe auf dem Desktop hattest, dann konnte irgend etwas auf dein Filesystem zugreifen --> System neu aufsetzen bzw. Image einspielen!

Ich hab übrigens mal etwas "herumanalysiert"... der Exploit den die Clients bekommen ist diesmal ein komplett anderer als die letzten Male...
Letztes Mal wurde direkt versucht, Code über JRE auszuführen...
Diesmal wird ein recht grosses Javascript (78kb!) geladen, das intern überwiegend einen langen Textstring ehnthält und eine ziemlich vertrackte Routine (absichtlich so zerhackstückt dass man sie kaum nachvollziehen kann (Obfuscator?)), die diesen String in ausführbaren Code übersetzt...
Welche Lücke auf den Clients ausgenutzt wird, um diesen Code auch auszuführen versuche ich noch herauszufinden...
Ich werd mir jetzt erst einmal das Javascript etwas manipulieren, damit es mir den Code ausgibt ohne ihn direkt auszuführen, so dass ich ihn analyieren kann....

Übrigens mein Verdacht für das Einfallstor:
Das Interface, über das interaktiv externe Werbung im Forum eingeblendet wird...

Unwahrscheinlich... dann müssten die Exploits explizit von den Servern der Werbevermarkter kommen... denn die Werbung wird ja nicht über eine Schnittstelle von aussen "hineingeschoben", sondern vom Forum nur von definierten Servern abgeholt...

 

[Torsten_HB]

Per SQL-Injection könnte man Inhalte manipulieren die tatsächlich auch aus der DB kommen

hmmmm

Eine weniger bekannte Variante stellt gleichzeitig die potenziell gefährlichste dar. Wenn der Datenbankserver die Kommandos SELECT … INTO OUTFILE beziehungsweise SELECT … INTO DUMPFILE unterstützt, können diese Kommandos dazu benutzt werden, Dateien auf dem Dateisystem des Datenbankserver abzulegen. Theoretisch ist es dadurch möglich, falls das Bibliotheksverzeichnis des Betriebssystems oder des Datenbankservers für denselben beschreibbar ist (wenn dieser zum Beispiel als root läuft), einen beliebigen Code auf dem System auszuführen.

Mehr: http://de.wikipedia.org/wiki/SQL-Injection


Ich schließe aber nicht aus, das falsch verstanden zu haben, bin kein Experte, nur User.

 

[scorpio]

@Scorpio:
Kann man den Template-Cache vom Forum deaktivieren

Nein.

 

[Torsten_HB]

Könnte hier ein Zusammenhang bestehen?

http://www.vbulletin-germany.com/forum/showthread.php/54806-Gehackt-Probleme-mit-index.php

 

[Thunderclap]

Nein.

Hmm.. ist es immer die selbe Datei/die selben Dateien im Template?

Man könnte dann wirklich hergehen und per cronjob jede Minute ein "touch" auf diese Templatefiles ausführen lassen.... das Änderungsdatum wäre damit jede Minute aktueller als im Cache und das File würde neu geholt...

Alternativ jede Minute den Cache leeren...

Bei einem neuen Befall des Forums wäre spätestens nach einer Minute alles wieder ok!