Websites redirecten naar 'traffic-go'

[Snake]

Hey there,

Ik heb sinds vandaag het probleem dat bepaalde websites redirecten naar http://traffic-go.com/?accs=572&tid=59 , waarbij Firefox een mooie error geeft met 'Reported Attack Site'.

Eerst had ik het op sun.co.uk, en nu op Fok!.

Nu misschien gebruiken ze beide dezelfde advertentiemaatschappij waar een fout is ingeslopen, ofwel ligt het aan mij (en moet ik beginnen te paniekeren).

Googlen op die link levert niets op.

Ik gebruik Windows Vista x64, met Firefox, en Symantec Endpoint Protection...

Iemand dit ook al meegemaakt vandaag?

[pven]

Heb je je PC al gecontroleerd op virussen?

Lees BV FAQ anders even door voor wat tips.

[TeeDee]

Ik zou toch even een malware scan doen. Zit trouwens even te kijken op sun.co.uk en dat lijkt me nu niet echt een site waar banners / advertenties op horen te staan.

[ Voor 61% gewijzigd door TeeDee op 24-03-2009 22:19 ]

[Snake]

pven schreef op dinsdag 24 maart 2009 @ 22:18:
Heb je je PC al gecontroleerd op virussen?

Lees BV FAQ anders even door voor wat tips.

Had ik natuurlijk moeten meedelen: Zulke dingen doe ik standaard al

En hij vond niets in het geheugen (1 uur geleden, en hij is nog steeds aan het scannen), daar mee da'k dit topic open.

+ ik heb niet op 'duistere sites' gesurft, ik heb UAC aanstaan, alles in orde... ik vraag mij af waar het vandaan komt.

[F_J_K]

Ah, dus: wat zijn de verdachte (resp vertrouwde) processen die draaien die je tegenkwam? Idem addons etc.

En: Ff, of elke browser?

[Racemol]

Kijk is met ipconfig /all wat het ip nummer van je DNS server is. Is die van je ISP of eigen router?

[Snake]

Racemol schreef op dinsdag 24 maart 2009 @ 22:35:
Kijk is met ipconfig /all wat het ip nummer van je DNS server is. Is die van je ISP of eigen router?

Ik zit op een universiteitscampus. Dus ik weet nog niet eens welke provider ze hebben.

F_J_K schreef op dinsdag 24 maart 2009 @ 22:35:
Ah, dus: wat zijn de verdachte (resp vertrouwde) processen die draaien die je tegenkwam? Idem addons etc.

En: Ff, of elke browser?

Geen nieuwe adons, the usual: Foxmarks, Firebug, Adblock (heb abbo ), ... niets speciaals, niets nieuw.

Ik gebruik Firefox. Ik kan het probleem alleen nu niet meer reproduceren.

[frickY]

Open eens een dos-prompt en doe een tracert naar een desbetreffende site.
Je ziet dan direct naar welk IP-adres hij resolved, en hoe je route loopt.

Zo zou je moeten kunnen afleiden of je een besmette DNS hebt (of vaker, je lokale HOSTS-file) of ongemerkt via een proxy zit te surfen.

Een tracert voor www.fok.nl zou moeten lijken op

C:\>tracert www.fok.nl -d

Tracing route to www.fok.nl [213.193.208.13]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.0.1
  2    10 ms     8 ms     7 ms  83.82.88.1
  3     7 ms     8 ms     7 ms  213.51.149.1
  4     7 ms    31 ms    12 ms  213.51.158.75
  5    19 ms    11 ms    12 ms  213.51.158.76
  6    22 ms     9 ms    15 ms  213.51.156.126
  7    17 ms    17 ms    17 ms  195.69.144.171
  8    19 ms    17 ms    35 ms  87.233.192.17
  9     *        *        *     Request timed out.

En voor sun.co.uk

C:\>tracert sun.co.uk -d

Tracing route to sun.co.uk [72.5.124.23]
over a maximum of 30 hops:

  1    <1 ms    <1 ms    <1 ms  192.168.0.1
  2     9 ms     7 ms     7 ms  83.82.88.1
  3     6 ms     7 ms     7 ms  213.51.149.1
  4     9 ms    12 ms    11 ms  213.51.158.72
  5    21 ms     9 ms     8 ms  82.98.250.185
  6    12 ms    12 ms    11 ms  64.125.26.45
  7    11 ms    12 ms    11 ms  195.69.145.60
  8    11 ms    12 ms    11 ms  204.70.193.146
  9   169 ms     *      170 ms  204.70.197.46
 10   170 ms   171 ms   171 ms  208.175.172.9
 11   172 ms   172 ms   171 ms  208.175.172.10
 12   171 ms   171 ms   171 ms  63.251.63.82
 13     *        *        *     Request timed out.

[TeeDee]

Snake schreef op dinsdag 24 maart 2009 @ 22:41:
[...]

Ik zit op een universiteitscampus. Dus ik weet nog niet eens welke provider ze hebben.

Dus kan je mogelijk ook op een brakke/gehackte DNS of switch oid zitten.

Ik gebruik Firefox.

Had je al gezegd. Dat je Fx gebruikt is geen garantie dat er niets mis is met je systeem.

[Snake]

*excuses* ik bedoel http://www.thesun.co.uk/sol/homepage/ , niet de website van Sun zelf. Sorry.

En in alle 3 de gevallen was het een redirect in de webpagina zelf, dwz ik zag Thesun/Fok VOOR de redirect.

Daarmee dat ik iets IN de website verdenkt.

@Hierboven: ik weet dat Firefox niet de heilige graal is, maar Firefox in combinatie met alles up to date doet me toch dingen afvragen.

[ Voor 21% gewijzigd door Snake op 24-03-2009 22:50 ]

[Orion84]

Je zou eens met een packet sniffer (whireshark bijvoorbeeld) het HTTP verkeer kunnen bekijken wat in zo'n geval plaatsvindt. Als er daadwerkelijk kwaadaardige code of iets dergelijks in die sites zit, dan moet je dat wel terug kunnen vinden in de http pakketjes die je binnenkrijgt. Als het een of ander proces op jouw machine is die de redirects triggert dan zal dat waarschijnlijk niet het geval zijn.

[Snake]

Orion84 schreef op dinsdag 24 maart 2009 @ 22:52:
Je zou eens met een packet sniffer (whireshark bijvoorbeeld) het HTTP verkeer kunnen bekijken wat in zo'n geval plaatsvindt. Als er daadwerkelijk kwaadaardige code of iets dergelijks in die sites zit, dan moet je dat wel terug kunnen vinden in de http pakketjes die je binnenkrijgt. Als het een of ander proces op jouw machine is die de redirects triggert dan zal dat waarschijnlijk niet het geval zijn.

Yea maar ik kan het nu echt niet reproduceren. Ik zit al de hele tijd te wachten tot het nog eens gebeurt. Het lijkt mij toch eerlijk gezegd meer op een verkeerd ingestelde advertentie.

Nu moet ik ook erbij zeggen dat ik momenteel in het midden van de VS zit. Dus dat de advertenties hier heel anders zijn.

Ik ga in ieder geval straks nog een scan draaien.

Thanks.

[Orion84]

Snake schreef op dinsdag 24 maart 2009 @ 22:56:
[...]

Yea maar ik kan het nu echt niet reproduceren. Ik zit al de hele tijd te wachten tot het nog eens gebeurt. Het lijkt mij toch eerlijk gezegd meer op een verkeerd ingestelde advertentie.

Of dat degene die op het netwerk zat te kloten daar inmiddels mee gestopt is. Maar dat blijft giswerk zo lang het niet meer voorkomt en je het dus niet meer kan onderzoeken.

[spone]

Je kan even proberen bij je lan-verbinding handmatig de servers van OpenDNS (208.67.222.222 en 208.67.220.220) in te stellen. Wanneer je dan niet meer wordt omgeleid is enigszins uit te sluiten dat je pc vervuild/besmet is en dat het mogelijk ergens anders in het netwerk zit.

[Snake]

Orion84 schreef op dinsdag 24 maart 2009 @ 22:58:
[...]
Of dat degene die op het netwerk zat te kloten daar inmiddels mee gestopt is. Maar dat blijft giswerk zo lang het niet meer voorkomt en je het dus niet meer kan onderzoeken.

Ja, en ik ben even met een andere machine (eentje van het werk ) gaan kijken op die website, en dat is eigelijk zo een valse website die zegt dat je een virus hebt, en dan willen ze je een antivirus doen installeren (die natuurlijk echt een virus is).

Maar ik kan niet veel meer doen totdat het nog eens voor komt.

[spone]

Snake schreef op dinsdag 24 maart 2009 @ 23:02:
[...]
zo een valse website die zegt dat je een virus hebt, en dan willen ze je een antivirus doen installeren (die natuurlijk echt een virus is).

Scareware noemen ze dat