Website verwijst door naar virussite

[Verwijderd]

Hallo,

ik heb een probleem met mijn website, ik denk dat er een of ander virus opzit aangezien hij soms (niet altijd dus) doorverwijst naar de website *censored* ik dacht dat het misschien in mijn .htaccess file zat, maar daar zit niets verdachts. Ook heb ik net mijn computer gescand en niets gevonden. Het is ook vervelend dat het morgen zondag is aangezien ik dan mijn support niet kan bereiken, vandaar deze post nu op tweakers.net. Dus heeft iemand hier ervaring mee, of weet wat ik hieraan kan doen? (dit domein heb ik pasgeleden overgekocht en verhuist)

PS: Mocht hij in het verkeerde topic staan, sorry hiervoor, maar dit leek mij het meest logische

Alvast bedankt.

[ Voor 5% gewijzigd door Verwijderd op 18-07-2009 21:58 ]

[gambieter]

Als je denkt dat er een virus of andere rommel op zit, waarom haal je hem dan niet eerst offline? Hem hier plaatsen is al helemaal niet verstandig.

[Verwijderd]

gambieter schreef op zaterdag 18 juli 2009 @ 21:52:
Als je denkt dat er een virus of andere rommel op zit, waarom haal je hem dan niet eerst offline? Hem hier plaatsen is al helemaal niet verstandig.

Er staat nog niets op, en ik heb hem eraf gehaald

[ Voor 6% gewijzigd door Verwijderd op 18-07-2009 21:53 ]

[gambieter]

Verwijderd schreef op zaterdag 18 juli 2009 @ 21:52:
Er staat nog niets op en wat bedoel je met hem hier plaatsen?

Je vraagt andere mensen naar je website te gaan, terwijl je die verdenkt van het hebben van een virus. Als dat niet zo is, dan is je uitleg niet duidelijk

[Verwijderd]

gambieter schreef op zaterdag 18 juli 2009 @ 21:54:
[...]

Je vraagt andere mensen naar je website te gaan, terwijl je die verdenkt van het hebben van een virus. Als dat niet zo is, dan is je uitleg niet duidelijk

Ja, ik verdenk mijn site van het hebben van een virus, tenminste hij heeft het virus zelf niet, maar hij stuurt ze door naar een virussite.

[leuk_he]

Ik heb hem 10x geladen, maar zie nooit iets anders dan dat background plaatje.

(PS, vanuit een sandbox uiteraard, ik ben niet gek)

[ Voor 26% gewijzigd door leuk_he op 18-07-2009 21:58 ]

[Luqq]

Kan iemand die link weghalen ? ik kom ook bij de virussite aan en mijn avira slaat op tilt

[Verwijderd]

Luqq schreef op zaterdag 18 juli 2009 @ 21:58:
Kan iemand die link weghalen ? ik kom ook bij de virussite aan en mijn avira slaat op tilt

Ik heb hem verwijderd en hij deed het net best vaak dat doorverwijzen en niet alleen op mijn computer, want iemand anders wees mij erop..

[leuk_he]

Luqq schreef op zaterdag 18 juli 2009 @ 21:58:
Kan iemand die link weghalen ? ik kom ook bij de virussite aan en mijn avira slaat op tilt

Iemand heeft de 1e link (de virus site) niet weggehaald en de site van de topic starter wel..


zet hem anders effe tussen code: De site van de topic starter: (alleen klikken als je weet hoe met virussen enzo om te gaan)

code:

www.avataronline.nl

dat die andere site , die virus site shoe nogiets is uiteraard gewoon verdacht.

[Muta]

zonder javascript kan het geen kwaad toch?

want zonder java kan je niet worden doorgestuurd.

Missschien kan je er zo achterkomen hoe het zit.

in FF met en zonder Javascript gebeurt er niks bij mij ( bij avataronline)

bij IE ( gebeurd er ook niks

maar opera stuurt me wel door, naar

code:

http://likeshoe.info/22/?uid=12800

[ Voor 41% gewijzigd door Muta op 18-07-2009 22:06 ]

[Verwijderd]

Muta schreef op zaterdag 18 juli 2009 @ 22:02:
zonder javascript kan het geen kwaad toch?

want zonder java kan je niet worden doorgestuurd.

Missschien kan je er zo achterkomen hoe het zit.

in FF met en zonder Javascript gebeurt er niks bij mij ( bij avataronline)

Het gebeurt bij mij bij Opera met www. ervoor, zonder gaat hij wel gewoon naar mijn site, alleen bij www. verwijst hij soms door,, misschien is het al verholpen,

[Verwijderd]

Muta schreef op zaterdag 18 juli 2009 @ 22:02:
zonder javascript kan het geen kwaad toch?

want zonder java kan je niet worden doorgestuurd.

Missschien kan je er zo achterkomen hoe het zit.

in FF met en zonder Javascript gebeurt er niks bij mij ( bij avataronline)

bij IE ( gebeurd er ook niks

maar opera stuurt me wel door, naar

code:

http://likeshoe.info/22/?uid=12800

Ja, dat bedoel ik, dus ligt het dan aan Opera?

[leuk_he]

code:

wget www.avataronline.nl

--2009-07-18 22:07:21--  http://www.avataronline.nl/
Resolving www.avataronline.nl... 89.18.174.40
Connecting to www.avataronline.nl|89.18.174.40|:80... connected.
HTTP request sent, awaiting response... 301 Moved Permanently
Location: http://avataronline.nl/ [following]
--2009-07-18 22:07:21--  http://avataronline.nl/
Resolving avataronline.nl... 89.18.174.40
Reusing existing connection to www.avataronline.nl:80.
HTTP request sent, awaiting response... 200 OK
Length: 741 [text/html]
Saving to: `index.html'

[Muta]

Verwijderd schreef op zaterdag 18 juli 2009 @ 22:07:
[...]


Ja, dat bedoel ik, dus ligt het dan aan Opera?

ik durf niet te zeggen dat het aan opera ligt, maar opera is er in ieder geval gevoelig voor.

Maar ik snap het niet, want in de html van avataronline zie ik niks staan, geen script o.i.d.

[Verwijderd]

Muta schreef op zaterdag 18 juli 2009 @ 22:09:
[...]


ik durf niet te zeggen dat het aan opera ligt, maar opera is er in ieder geval gevoelig voor.

Maar ik snap het niet, want in de html van avataronline zie ik niks staan, geen script o.i.d.

Nee, dat vond ik dus ook al raar

@leuk_he

Hij verwijst door met een 301 aangezien hij naar een subdomein van mijn hoofddomein op mijn host doorverwijst

[Verwijderd]

Afhankelijk van de user-agent en wat andere criteria wordt er verschillende content geserveerd.
Het moge duidelijk zijn dat de server compromised is.

[Plucky]

Verwijderd schreef op zaterdag 18 juli 2009 @ 21:50:
Hallo,

ik heb een probleem met mijn website, ik denk dat er een of ander virus opzit aangezien hij soms (niet altijd dus) doorverwijst naar de website *censored* ik dacht dat het misschien in mijn .htaccess file zat, maar daar zit niets verdachts. Ook heb ik net mijn computer gescand en niets gevonden. Het is ook vervelend dat het morgen zondag is aangezien ik dan mijn support niet kan bereiken, vandaar deze post nu op tweakers.net. Dus heeft iemand hier ervaring mee, of weet wat ik hieraan kan doen? (dit domein heb ik pasgeleden overgekocht en verhuist)

PS: Mocht hij in het verkeerde topic staan, sorry hiervoor, maar dit leek mij het meest logische

Alvast bedankt.

Same here, hier ook een verwijzing naar exact dezelfde site. Overigens niet altijd maar het varieert per klik...
Bij welke hostingprovider staat jouw site??

[Turdie]

Plucky schreef op zaterdag 18 juli 2009 @ 23:37:
[...]


Same here, hier ook een verwijzing naar exact dezelfde site. Overigens niet altijd maar het varieert per klik...
Bij welke hostingprovider staat jouw site??

Uit de DNS haal ik,de volgende hostingprovider: pcextreme

[ Voor 3% gewijzigd door Turdie op 18-07-2009 23:46 ]

[Plucky]

shadowman12 schreef op zaterdag 18 juli 2009 @ 23:45:
[...]


Uit de DNS haal ik,de volgende hostingprovider: pcextreme

Ik was blond voordat ik kaal werd...
Had ik ook zelf kunnen bedenken. Blijkbaar zijn er dus meerdere providers geïnfecteerd want ik zit bij een andere provider. Kijken hoe (en hoe snel) het opgelost wordt...

[Verwijderd]

Plucky schreef op zondag 19 juli 2009 @ 00:01:
[...]


Blijkbaar zijn er dus meerdere providers geïnfecteerd want ik zit bij een andere provider. Kijken hoe (en hoe snel) het opgelost wordt...

En dit moet per se aan de provider liggen omdat...?

[ElementriX]

Geinfecteerde advertenties?

[Verwijderd]

Het is inmiddels opgelost (vraag me niet hoe), maar ik heb geen last meer van doorverwijzingen naar virussites, bedankt voor jullie hulp allemaal

[frickY]

In veel gevallen wordt er een stukje javascript onderin de footer geinjecteerd, welke meestal alleen werkt in Internet Explorer browsers.
Wijzig per direct je FTP-wachtwoord, en upload je index opnieuw.

[soulrider]

frickY schreef op zondag 19 juli 2009 @ 20:02:
In veel gevallen wordt er een stukje javascript onderin de footer geinjecteerd, welke meestal alleen werkt in Internet Explorer browsers.
Wijzig per direct je FTP-wachtwoord, en upload je index opnieuw.

Het kan net zo goed via foute instellingen op server, en een exploitbaar script van TS of een andere klant gebeurd zijn. Als TS nog helemaal niets op zijn domein actief had, dan is het via een andere klant gegaan oftewel loopt de beheerder nog wat achter met dnsserver enzo ?
Zoiets gebeurd zelden via ftp, maar vaak mbv bots en exploitbare scripts enzo.

TS: Vraag eventueel uitleg aan je hoster hoe dit kwam en hoe ze dat opgelost hebben.
Mogelijk kan je zo ook zelf wat actie ondernemen om je site (en data op die server) te beveiligen tegen zulke dingen.