Forum gehackt ! - Das offizielle Klomanager-Forum

Das offizielle Klomanager-Forum

RegistrierenAnmeldenHilfe/FAQsDisclaimerStatistikKalenderSuche

Klomanager - Hochgewürgt Topfree.de Impressum

Das offizielle Klomanager-Forum » Unser aller Forum » Forum gehackt ! » Themenansicht

Autor

Themenseiten:

Druckversion

000
04.06.2013, 18:12 Uhr
Ronald Wendt
Administrator
Schüsselkönig

Beiträge: 2527
Dabei seit:
15.04.2003, 19:28 Uhr

Hallo liebe Forumsbenutzer,

sowohl dieses Forum, also auch die Klomanager.de und Anvil-Soft.de bzw. .com sind leider Opfer eines Hackerangriffes geworden.

Inzwischen konnten die Schäden beseitigt werden, es besteht jedoch für alle, die seit ca. Sonntagabend eine dieser Seiten besucht haben, die Gefahr, nun einen Trojaner auf dem Rechner zu haben.

Daher sollte jeder einen Virenscan durchführen, der zu der genannten Gruppe gehört und keine Warnung seines Virenprogrammes beim Besuch erhalten hat.

Viele Grü�?e

Ronald Wendt
-----
Klomanager für PC gibts hier: Klomanager - Hochgewürgt

Retrofreaks gehen auf www.atari-ste.org

nach oben

Profil || Privatnachricht || Suche

Zitatantwort || Editieren || Löschen || IP

001
04.06.2013, 20:54 Uhr
bennokue
Giuseppe der Schöngeist
Bürstenkaiser

Beiträge: 4231
Dabei seit:
02.04.2005, 14:57 Uhr

Zitat:

Ronald Wendt postete
seit ca. Sonntagabend

Bei mir ist's aufgefallen am Samstag um ca 11 Uhr Vormittag, also sagen wir lieber Freitag Abend.

So wie es aussah, war es ein Stück bösartiges Java-Script-Code, das, gespickt mit ein paar Tricks, um nicht automatisch erkannt zu werden, eine andere Seite unsichtbar nachlädt (auf der dann wahrscheinlich der wirklich böse Code lauert).
Das bedeutet, wenn ihr Plugins wie NoScript, das Scripte verbietet, und / oder RequestPolicy, das das Nachladen von fremden Domains verbietet, im Einsatz (und für die Anvil-Soft-Seiten nicht "unscharf geschaltet") habt, ist es ebenfalls unwahrscheinlich, dass der böse Code ausgeführt wurde. Definitiv kann man es natürlich nicht sagen.

Ach, übrigens: Ich kann wirklich nur darauf hinweisen, dass die Anvil-Soft-Seiten auch ohne j*a*v*a*s*c*r*i*p*t funktionieren (ok, bis auf die Knöpfe beim Erstellen eines Beitrags, aber den von ihnen erzeugten Code kann man sich auch merken).

Auf jeden Fall ist es schön, dass das Forum erhalten geblieben ist!

-----
Wer einen Beitrag von mir liest möge ihn nicht persönlich nehmen!
Zwischen "rechthaben" und "Recht haben" liegen Welten...
(bennokue - Vielredner "Es hat mich gefreut, mit Ihnen zu reden!")
KloMO: bennokue | Ranglistenbeobachtung

Dieser Beitrag wurde am 04.06.2013 um 20:56 Uhr von bennokue verändert

nach oben

Profil || Privatnachricht || Suche

Zitatantwort || Editieren || Löschen || IP

002
04.06.2013, 22:04 Uhr
bennokue
Giuseppe der Schöngeist
Bürstenkaiser

Beiträge: 4231
Dabei seit:
02.04.2005, 14:57 Uhr

Ha, Additum!

Zumindest der Code, den ich auf der Anvil-Soft-Homepage gefunden habe, hat anscheinend nach getaner Arbeit ein Cookie gesetzt, um nur 1x am Tag zu arbeiten. Ich wei�? nicht, ob das so geklappt hat, denn der Schreiber scheint 3600 (Sekunden in einer Stunde) und 3600000 (Sekunden in Tausend Stunden) verwechselt zu haben.

Also, schaut mal nach, ob ihr in euren Cookies ein Cookie namens visited_uq (oder auch ähnlich!!) findet.

Ob das auch fürs Forum gilt oder für alle anderen Seiten, wei�? ich nicht, weil ich bisher nur das eine Code-Schnipsel analysiert habe, und alleine auf der Startseite des Forums gibt es 25 (!) solcher Schnipsel (ziemlich oft das selbe, glaube ich, aber anders als das von der Homepage).
Es kann natürlich auch sein (bzw. ist nicht unwahrscheinlich), dass alle unterschiedlichen Schnipsel den selben bösen Code entschlüsseln, nur halt vor dem Entschlüsseln unterschiedlich aussehen.
-----
Wer einen Beitrag von mir liest möge ihn nicht persönlich nehmen!
Zwischen "rechthaben" und "Recht haben" liegen Welten...
(bennokue - Vielredner "Es hat mich gefreut, mit Ihnen zu reden!")
KloMO: bennokue | Ranglistenbeobachtung

nach oben

Profil || Privatnachricht || Suche

Zitatantwort || Editieren || Löschen || IP

003
05.06.2013, 17:35 Uhr
bennokue
Giuseppe der Schöngeist
Bürstenkaiser

Beiträge: 4231
Dabei seit:
02.04.2005, 14:57 Uhr

Ich habe nun alle drei Code-Schnipsel, die ich gefunden hatte (1 auf der Hauptseite, 2 unterschiedliche auf der Forums-Startseite) untersucht.

Alle drei führen auf das gleiche hinaus, nämlich auf das Einbinden eines iframes mit bösem Inhalt, und zwar nur 1x am Tag (das mit den 1000 Tagen vergessen wir schnell wieder

). Um das "nur 1x am Tag" zu erreichen, wird ein Cookie namens "visited_uq" angelegt und auf den Wert 55 gesetzt.

Wenn ihr also Angst haben solltet, es wird vielleicht in Kürze nochmal auf die gleiche Art und Weise zugeschlagen, könnt ihr euch ein solches Cookie (nur eben langlebiger) fürs Forum setzen.