Forum schon wieder verseucht ?

[scorpio]

Als Workaround sicher brauchbar. Wir wollen trotzdem wissen, wie der Dreck da rein kommt. Und unser Forum ist ja nun beileibe nicht das einzige mit diesen Problemen.

 

[Thunderclap]

Das ist schon klar...
Eine Lösung des Problems ist es nicht, aber es sichert den Schutz der User, bis es eine Lösung gibt!

 

[UliBär]

Unwahrscheinlich... dann müssten die Exploits explizit von den Servern der Werbevermarkter kommen... denn die Werbung wird ja nicht über eine Schnittstelle von aussen "hineingeschoben", sondern vom Forum nur von definierten Servern abgeholt...

Aber was ist, wenn sich ein Bösewicht erfolgreich als MITM zu einem der benutzten Werbeserver etablieren kann?
Dann holt sich das Forum den Schädling sogar selbst aufs System...

 

[Torsten_HB]

Aber was ist, wenn sich ein Bösewicht erfolgreich als MITM zu einem der benutzten Werbeserver etablieren kann?
Dann holt sich das Forum den Schädling sogar selbst aufs System...

Das wäre ja leicht zu überprüfen. Man müsste halt nur die Werbung für einige Tage deaktivieren. Dürfte allerdings zu erheblichen Einnahmeverlusten führen.....

 

[scorpio]

Das wäre ja leicht zu überprüfen. Man müsste halt nur die Werbung für einige Tage deaktivieren. Dürfte allerdings zu erheblichen Einnahmeverlusten führen.....

Hatten wir schon gemacht. Über die Werbung kommt das nicht.

 

[Thunderclap]

Aber was ist, wenn sich ein Bösewicht erfolgreich als MITM zu einem der benutzten Werbeserver etablieren kann?
Dann holt sich das Forum den Schädling sogar selbst aufs System...

Hier sind ja recht grosse Werbehoster vertreten.... wären die kompromittiert, dann wären hunderttausende von Webseiten in Deutschland betroffen...

 

[Picturereport]

Am besten das Forum mal nen paar Tage abschalten und dann gründlich suchen/beheben...als alle paar Stunden die gleichen Probleme und immer mehr infizierte User...

 

[Torsten_HB]

Am besten das Forum mal nen paar Tage abschalten und dann gründlich suchen/beheben...als alle paar Stunden die gleichen Probleme und immer mehr infizierte User...

Das Programmiererteam der Software sucht bereits über ein halbes Jahr... Meinst du ernsthaft, die Betreiber finden dann die Lücke in ein paar Tagen?

 

[UliBär]

Hier sind ja recht grosse Werbehoster vertreten.... wären die kompromittiert, dann wären hunderttausende von Webseiten in Deutschland betroffen...

Denke ich nicht, sondern nur die vBulletin-Boards mit der noch unbekannten Lücke, aber wurde ja schon ausprobiert.

Daher mein Tip zur Behebung auf Client-Seite bis die Lücke gefunden ist:
Ein Addon installieren, daß dauerhaft iframes blockiert.
Das vorhin angegebene Plugin tut das leider nach Prüfung nicht automatisch...

 

[Picturereport]

okay das würde aber bedeuten das die betreiber hier weiterhin alle user die diesen thread noch nicht gelesen haben, bewusst der gefahr auf unbestimmte zeit aussetzen, ob das besser ist, weiß ich nicht...ne info, oder rundmail gabs glaube ich nicht.

 

[Torsten_HB]

okay das würde aber bedeuten das die betreiber hier weiterhin alle user die diesen thread noch nicht gelesen haben, bewusst der gefahr auf unbestimmte zeit aussetzen, ob das besser ist, weiß ich nicht...ne info, oder rundmail gabs glaube ich nicht.

Dieser Gefahr setzt sich jeder User aus, sobald er seinen PC mit dem Internet verbindet - völlig unabhängig von dem Besuch dieser Seite.
Da hilft nur der Schutz des eigenen PCs....

 

[Frank rekcäR]

was ist hier los mit seite 23?
genau dort wird das problem näher besprochen. immer wenn ich auf diese eine seite gehe friert der IE ein und es kommt die sanduhr für ca. 20 sekunden. habe das mehrfach durchgespielt.

edit: habs eben nochmals versucht: ... "auf seite wird gewartet", dann einfrieren der seite, dann weißer bildschirm, dann sanduhr...

Geht mir auch so, bei Seite 23 friert der Browser ein.

 

[Frank rekcäR]

und hier noch die "Ausbeute" der Forumssitzung vom letzten Dienstag. 84 Trojaner im Temp Ordner

 

[Thunderclap]

Wow...
Ich hab grade mal das Exploit-Script entschlüsselt und mal leserlich umgearbeitet...

Das ist ein echter Brocken was da bis vor kurzem verteilt wurde.... und echt clever gemacht.

Befallen wurde Systeme mit anfälligen Java-Versionen und bestimmten Versionen des Adobe Acrobat-Readers.... darüber hinaus wird auch noch auf die Ausführbarkeit von ActiveX-Elementen geprüft, ich sehe jetzt aber keine Stelle wo hier eine Lücke ausgenutzt werden würde.

Die Javaversionen nach denen der Exploit sucht sind
1,5,0,14
1,6,0,2
1,3,1,0
1,4,2,0
1,5,0,7

Beim Acrobat bevorzugt der Exploit keine bestimmte Version sondern probiert einfach aus...

Der Exploit klopft das System nach entsprechenden Lücken ab und nutzt dabei je nach verwendetem Browser unterschiedliche Methoden - Browserseitig gibt es also keine Präferenzen - das Ding kommt mit allem klar!

Das krasseste ist aber folgendes:
DAS TEIL BEFÄLLT AUCH APPLE-RECHNER!!! Es gibt zwei Tests in denen Explizit auf OS X abgeprüft wird!
("e.OS==2" ... in der OS-Liste ziemlich zu anfang ist 2 = Mac )
(Zeile 680 und 799)

Prinzipiell installiert das Teil alles was geht... je mehr Lücken offen sind, desto mehr bekomt der User verpasst...

Im Anhang mal der Sourcecode für interessierte... damit hier nichts von slebst ausgeführt wird, sicherheitshalber ausgedruckt als PDF

 

[Cimba]

Da hilft nur der Schutz des eigenen PCs....

Da dieser Schutz aber nie 100%ig sein kann, wäre ein Hinweis wie beim ersten Mal durchaus sinnvoll, aber leider erfolgt ja nicht mal das.

 

[ewm]

...
DAS TEIL BEFÄLLT AUCH APPLE-RECHNER!!! Es gibt zwei Tests in denen Explizit auf OS X abgeprüft wird!...

Sorry, glaube ich nicht auf Anhieb.

Ich bin bisher mit meinen beiden Macbooks (MBA für unterwegs, älteres MBP am Schreibtisch), beide OS X 10.6.7 in keiner Weise gestört oder belästigt worden.

Sollte ich jetzt was tun???

Gruß
ewm

 

[franconia]

ich kann das PDF nicht oeffnen oder herunterladen. Ungueltiger Anhang wird angezeigt.

Edit: jetzt funktionierts. Danke

 

[Torsten_HB]

Sorry, glaube ich nicht auf Anhieb.

Ich bin bisher mit meinen beiden Macbooks (MBA für unterwegs, älteres MBP am Schreibtisch), beide OS X 10.6.7 in keiner Weise gestört oder belästigt worden.

Sollte ich jetzt was tun???

Gruß
ewm

Ja!

Sinn und Zweck der kleinen Tierchen ist es ja eben, unentdeckt zu bleiben....

 

[Thunderclap]

Sorry, glaube ich nicht auf Anhieb.

Das Script prüft jedenfalls darauf ab, ob jemand unter OS X und Safari eine entsprechende Java-Version verwendet....
Ob es diese Lücke ausnutzt kann ich nicht genau sagen...

Ach ja:
Mit Opera scheint man (vor diesem Schädling zumindest) sicher zu sein...
Gecheckt werden nur Gecko-Engines (Firefox), Chrome, Safari und generell auf aktives ActiveX (IE) - wobei der IE scheinbar hier ebenfalls sicher ist, sofern ActiveX abgeschaltet ist... auf Java oder Acrobat im IE wird gar nicht geprüft...

 

[Cimba]

Befallen wurde Systeme mit anfälligen Java-Versionen und bestimmten Versionen des Adobe Acrobat-Readers....

Bedeutet das, wenn man Javascript und den Reader aktuell gehalten hat, wäre einem hier nichts passiert, auch wenn man den Browser ohne Sicherheitsplugins wie NoScript ausgestattet hat?