Trojan op Tweakers.net?

[-Z-]

als ik tweakers.net open in IE of Firefox, dan komt NOD32 met melding...

[Verwijderd]

Ik denk dat eerder Nod para is. Het gaat hier om een banner-javascript zover ik lezen kan, en blijkbaar is een banner bij Nod ook geblacklist.

Ik denk weinig om je zorgen over te maken

[InfinityG35]

Krijg dezelfde melding hier met NOD32 2.7

EDIT: Op sommige andere sites pakt ie ook dezelfde trojan .Lijkt me dat NOD een beetje te achterdochtig is geworden

[ Voor 59% gewijzigd door InfinityG35 op 30-06-2007 08:26 ]

[Brede P]

Verwijderd schreef op zaterdag 30 juni 2007 @ 08:20:
Ik denk dat eerder Nod para is. Het gaat hier om een banner-javascript zover ik lezen kan, en blijkbaar is een banner bij Nod ook geblacklist.

Ik denk weinig om je zorgen over te maken

Nou ja, de melding geeft vrij duidelijk aan dat er een Trojan verstopt zit in die banner.
Misschien toch iets om naar te kijken door de crew, NOD32 staat toch bekend als een redelijk goede virusscanner. Ben meer paranoide acties van pakketten als Norton en McAfee tegen gekomen tot op heden, dan van NOD...

[Verwijderd]

Kan iemand dan even opzoeken wat dat type trojan dan precies doet? Mijn scanner zeurt ook als het om een 'crack' gaat bijv. Even uitzetten en het is opgelost.

En zelfs bij de meest normaalste websites kom je ook meldingen van norton tegen bijv. Er zijn genoeg 'positive' dingen geblacklist. Ik heb er zelf allemaal geen last van, ik maak gebruik van Trend micro met realtime scan feature, en meer ook niet.

[wildhagen]

Hmm, ik heb ook NOD en krijg deze melding niet, zowel in IE als in Firefox niet?

Beetje vaag, waarschijnlijk een false-positive? Welke versie van de virusdefs hebben jullie? Ik zit met versie 2365 en die meld iig niks hier...

[ACM]

Brede P schreef op zaterdag 30 juni 2007 @ 08:26:
Nou ja, de melding geeft vrij duidelijk aan dat er een Trojan verstopt zit in die banner.

Nee, hij geeft duidelijk aan dat ie een trojan gedectecteerd "denkt" te hebben

Verwijderd schreef op zaterdag 30 juni 2007 @ 08:20:
Ik denk dat eerder Nod para is. Het gaat hier om een banner-javascript zover ik lezen kan, en blijkbaar is een banner bij Nod ook geblacklist.

Er zal wel een bepaalde javascriptconstructie in zitten die door NOD32 een belletje doet rinkelen. Probleem is alleen dat veel van de constructies die kwaad kunnen (sowieso alleen door browserlekken) ook gebruikt kunnen worden voor nuttigere zaken. Helaas is de javascript-file nogal onleesbaar, dus is het voor een gewone sterveling wat lastig na te gaan of het ook echt malafide code bevat.
Maar zelfs als deze javascript-file dat doet, zou de browser dat al tegen moeten houden.

Verwijderd schreef op zaterdag 30 juni 2007 @ 08:28:
Kan iemand dan even opzoeken wat dat type trojan dan precies doet? Mijn scanner zeurt ook als het om een 'crack' gaat bijv. Even uitzetten en het is opgelost.

Het gaat volgens de melding om JS/Tivso.14a.gen, maar dat virus is vervolgens niet terug te vinden in NOD32's virus encyclopedia en ook google kent de term niet. Bovendien is NOD32 de enige van deze scanners die er iets in ziet:

A-Squared  	Found nothing
AntiVir 	Found nothing
ArcaVir 	Found nothing
Avast 	Found nothing
AVG Antivirus 	Found nothing
BitDefender 	Found nothing
ClamAV 	Found nothing
Dr.Web 	Found nothing
F-Prot Antivirus 	Found nothing
F-Secure Anti-Virus 	Found nothing
Fortinet 	Found nothing
Kaspersky Anti-Virus 	Found nothing
NOD32 	Found JS/Tivso.14a.gen
Norman Virus Control 	Found nothing
Panda Antivirus 	Found nothing
Rising Antivirus 	Found nothing
VirusBuster 	Found nothing
VBA32 	Found nothing

wildhagen schreef op zaterdag 30 juni 2007 @ 08:33:
Beetje vaag, waarschijnlijk een false-positive? Welke versie van de virusdefs hebben jullie? Ik zit met versie 2365 en die meld iig niks hier...

In theorie is het natuurlijk mogelijk dat een netwerk van bannerboeren (weer) gekraakt is en dat er een of ander malafide stukje javascript is geupload, maar het verbaasd me dan wel dat NOD32 de enige is van de lijst die hierboven staat die wat vindt.

't Gaat trouwens om deze javascript.

[crisp]

Lijkt mij een false positive; ik kon iig wel dit vinden op de nod site: http://ve.nod32.ch/trojan/tivso.php

[Rataplan]

twekers.net titelfixje

[Verwijderd]

Clean, de JS lijkt nog geeneens op Feebs/Tivso code.

[Cubic X]

LOL...krijg sinds vandaag precies dezelfde melding
Ook op vele andere sites waar ik eerder nooit problemen mee had, virusscanner gedraaid (NOD 2.7 is me standaard scanner) en ook verschillende online scans. Ben zelfs zo ver gegaan voor een format omdat geen enkele scanner iets vond, maar ik wel steeds de melding kreeg. Dus toen een format gedaan( ) Maar krijg bij sommige sites nog steeds deze melding (niet meer bij tweakers )

Maar het is dus niks om zorgen over te maken?

Edit: ik gebruik dus NOD32 2.70.26 met definition files: 2365.
Het 'bestand/trojan/virus' nestelt zich in: C:\Documents and Settings\*******\Local Settings\Temporary Internet Files\Content.IE5\5PE2RSZN\ebBannerMain_62_36[1].js


Misschien kan iemand er wat mee

[ Voor 21% gewijzigd door Cubic X op 30-06-2007 19:24 ]

[Darkprince1234]

Dacht ik even een primeur te hebben zeg....

Ik heb dezelfde NOD32 antivirus melding over de trojan....

Het lijkt hier op tweakers.net wel de asus.com website joh )

[Darkprince1234]

Cubic X schreef op zaterdag 30 juni 2007 @ 19:18:
LOL...krijg sinds vandaag precies dezelfde melding
Ook op vele andere sites waar ik eerder nooit problemen mee had, virusscanner gedraaid (NOD 2.7 is me standaard scanner) en ook verschillende online scans. Ben zelfs zo ver gegaan voor een format omdat geen enkele scanner iets vond, maar ik wel steeds de melding kreeg. Dus toen een format gedaan( ) Maar krijg bij sommige sites nog steeds deze melding (niet meer bij tweakers )

Maar het is dus niks om zorgen over te maken?

Edit: ik gebruik dus NOD32 2.70.26 met definition files: 2365.
Het 'bestand/trojan/virus' nestelt zich in: C:\Documents and Settings\*******\Local Settings\Temporary Internet Files\Content.IE5\5PE2RSZN\ebBannerMain_62_36[1].js


Misschien kan iemand er wat mee

Al gedacht aan die file opzoeken en deleten en daarna je systeem opnieuw scannen?

Een format is toch wel iets te ver gezocht...

[PBloem]

Volgensmij heb ik die melding ook vandaag op de site van de Telegraaf voorbij zien komen.
Toen begon Nod32 ook te gillen

[Fab1Man]

Ja ik heb helaas ook deze melding met NOD 2.7... Dacht even toch dat dit niet klopte, maar even goed als denkt ie iets te hebben het is natuurlijk niet mooi als je op tweakers komt en er zou wel eens een trojan in de banner kúnnen zitten.

[aex351]

Ik ervaar hetzelfde. Op een andere website precies hetzelfde.

[sphere]

Ik heb dit ook, maar bij mij staat er:"Dit object bevat geen kwaadaardige code" oid. Echt lang geleden dat ik zo'n melding heb gehad trouwens

[crisp]

Zie Verwijderd in "Trojan op Tweakers.net?" - dit is gewoon een confirmed false positive; blame NOD

[Aubergine]

NOD32 tripte hier ook

[Osiris]

Afgezien van het feit dat het wel of geen Trojan is, vind ik het op z'n minst een zéér dubieuze hostname om banners van te showen..

Ik dacht dat Tweakers.net tegenwoordig met Google in zee was omtrent het banner-gemiep? Kunnen we 't anders bij fatsoenlijke banner-boeren houden?

Sowieso vind ik het irritant als er 'externe' files (non-T.net-servers/hostnames) geladen moeten worden, aangezien het niet de eerste keer zou zijn dat een of ander dubieuze googleads-URL niet geladen kan worden en derhalve mijn pagina nevernooitniet op "Done" komt te staan. Maar als je dan ook nog eens zeer vage adressen gaat toestaan, waar leg je de grens dan?

[ Voor 39% gewijzigd door Osiris op 01-07-2007 01:12 ]

[Aubergine]

Ik krijg dit dus nu iedere x als ik de FP bezoek

[InFrA-WiZ]

wildhagen schreef op zaterdag 30 juni 2007 @ 08:33:
Hmm, ik heb ook NOD en krijg deze melding niet, zowel in IE als in Firefox niet?

Beetje vaag, waarschijnlijk een false-positive? Welke versie van de virusdefs hebben jullie? Ik zit met versie 2365 en die meld iig niks hier...

Ook 2365 hier, en kreeg net 2x een melding van NOD32.

[Verwijderd]

Osiris schreef op zondag 01 juli 2007 @ 01:10:
Kunnen we 't anders bij fatsoenlijke banner-boeren houden?

Gezien de klanten is het vast geen kleintje. (o.a. MS)

Helaas zijn geen van de collega researchers van ESET die ik ken online op instant messaging, anders kon ik ze eens aan de haren trekken. (Bij sommigen letterlijk)

[Cubic X]

Darkprince1234 schreef op zaterdag 30 juni 2007 @ 20:01:
[...]


Al gedacht aan die file opzoeken en deleten en daarna je systeem opnieuw scannen?

Een format is toch wel iets te ver gezocht...

Dat heb ik ook echt wel gedaan, maar de file was nergens en dan bedoel ik echt nergens te vinden. In het opgegeven pad gekeken maar dan is daar niks, toch heb ik voor de zekerheid alles in Temporary Internet Files verwijderd maar de melding komt dan gelijk weer. Dus toen maar een formatje gedaan, deze was trouwens niet alleen hier om hoor. Maar dit was de druppel

Edit: inmiddels is de melding compleet weg, nergens meer last van. NOD 2.7 is geupdate na 2366

[ Voor 7% gewijzigd door Cubic X op 01-07-2007 09:45 ]

[MRic3]

offtopic:
Systeembeheer lijkt tegenwoordig wel alleen maar op formateren en herinstalleren. Dan kan je goed met computer omgaan.. ( * MRic3 is trots op zijn 4 jaar oude XP install die nog draait als een speer)

Ik kreeg de melding van NOD32 ook op diverse site's.
Heb nou geupdate naar versie 2366, we zullen eens gaan testen

[crisp]

Osiris schreef op zondag 01 juli 2007 @ 01:10:
Afgezien van het feit dat het wel of geen Trojan is, vind ik het op z'n minst een zéér dubieuze hostname om banners van te showen..

Wat is jouw definitie van een 'dubieuze hostname'? Het is gewoon een .com domain en volgens mij is er niet echt een formele relatie te leggen tussen hostname en dubieusheid

Ik dacht dat Tweakers.net tegenwoordig met Google in zee was omtrent het banner-gemiep? Kunnen we 't anders bij fatsoenlijke banner-boeren houden?

Wij gebruiken AdSense ja, maar de reguliere banners op de frontpage worden door VNU verzorgd via doubleclick (wat dus tegenwoordig ook Google is).
Veel grote partijen zoals Microsoft bijvoorbeeld hebben hun eigen partijen die de bannercampagnes verzorgen en de content daarvoor zelf hosten voor wereldwijd gebruik. Daar kan je als afnemer weinig aan veranderen, het is hun way of the highway en dan zetten ze hun 50.000 euro campagne wel op een andere site weg...

Sowieso vind ik het irritant als er 'externe' files (non-T.net-servers/hostnames) geladen moeten worden, aangezien het niet de eerste keer zou zijn dat een of ander dubieuze googleads-URL niet geladen kan worden en derhalve mijn pagina nevernooitniet op "Done" komt te staan. Maar als je dan ook nog eens zeer vage adressen gaat toestaan, waar leg je de grens dan?

Onze implementatie is al dusdanig dat het niet bereikbaar zijn van een of andere adserver in ieder geval niet ervoor zorgt dat onze pagina zelf niet toegankelijk is. Dat je throbber blijft bewegen en je geen 'Done' krijgt in je statusbalk zie ik niet echt als een issue.

Wat mij wel opvalt, ook in deze, is dat bannerboeren denken 34KB aan obfuscated javascript nodig denken te hebben om een simpele banner te tonen