Trojan-Downloader.JS.Iframe.cqj

bootskiste

Hallo,

wir haben ein großes Problem und brauchen dringend Hilfe.

Angefangen hat alles mit einem Kundenschreiben, wo uns mitgeteilt wurde, dass sich auf unserer Homepage www.bootskiste.de ein Virus befindet.

Wir haben auch auf unserem Server bei server4you folgenden Trojaner gefunden:
Trojan-Downloader.JS.Iframe.cqj

Der Trojaner wurde entfernt, aber die Probleme weiteten sich aus.

Als nächstes wurde unser Mailprogramm blockiert, beim Senden bzw. Empfangen gibt es folgende Fehlermeldung:

DrWeb-DAEMON [DrWEB-DAEMON@bravo676.server4you.de]

Dear User,

the message with following attributes has not been delivered, because contains an object which cannot be checked by antivirus filter.
Relaying such messages is blocked by administrator.

Sender = joerg.goblirsch@bootskiste.de
Recipients = info@bootskiste.de
Subject = test 2012
Message-ID = <60C7178CB55C4DC3AA90FD9EA2AE6CEB@Joerg>

Antivirus filter report:
--- Dr.Web report ---
Dr.Web detailed report:
127.0.0.1 [1214] drweb.tmp.piyNTR - archive MAIL
127.0.0.1 [1214] drweb.tmp.piyNTR/[textlain] - Ok
127.0.0.1 [1214] drweb.tmp.piyNTR/winmail.dat - archive TNEF
127.0.0.1 [1214] >drweb.tmp.piyNTR/winmail.dat/0.file - Ok
127.0.0.1 [1214] >drweb.tmp.piyNTR/winmail.dat/ - read error!

--- Dr.Web report ---

Please contact <postmaster>

Dieses Problem besteht noch immer, komischerweise nur bei zwei Mailanschriften, andere funktionieren ohne Probleme.

Gestern haben wir aus Zufall festgestellt, dass sich beim Aufruf unserer Homepage www.bootszubehoer-online.de/Versandmaterial der Media Player öffnet.
So wie ich es sehe, kommt dies nur beim Betriebssystem XP vor, bei Rechner die bei mit Windows7 laufen wird der Media Player nicht geöffnet.

Der Trojaner bzw. Virus muss sich bei uns weiter ausbreiten, haben gestern von ebay folgende Meldung erhalten;

Sind jetzt für weitere Käufe und Transaktionen gesperrt. Können über ebay auch keine Kundenfragen mehr beantworten.

Hinweis
Eines oder mehrere Ihrer aktuellen Angebote enthält Code, der mit einer verdächtigen Website verknüpft ist. Dies verstößt gegen unseren Grundsatz zur Verwendung von Skriptsprachen (HTML und JavaScript).
Bitte beheben Sie dieses Problem in Ihren Angeboten. Wir haben Ihnen diesbezüglich eine E-Mail an Ihre registrierte E-Mail-Adresse gesendet. Bis dahin können Sie keine weiteren Angebote einstellen und keine Artikel kaufen.

Brauchen dringend professionelle Hilfe, sind auch bereit dafür etwas zu bezahlen bzw. machen eine Spende an das Forum, wenn uns hier geholfen wird.

Hier ein paar Daten die evt. wichtig sind:

Domains:
www.bootskiste.de
www.bootszubehoer-online.de

Server ist bei server4you
Mails laufen auch über server4you

Unser Homepage wird mit JTL betrieben und darüber stellen wir auch in ebay ein.

Ich habe bis jetzt alle Rechner mit diversen Programmen auf Viren usw. überprüft, es wurde nichts gefunden.

Mache seit ein paar Tagen auch Netzwerkaufzeichnungen mit Microsoft Network Monitor 3.4. Vielleicht lässt sich durch einen Experten hier die Ursache finden.

Bedanke mich für Hilfen jeglicher Art, Kontaktaufnahme erwünscht.

Jörg Goblirsch