Virusmelding door Tweakers.net?

[Touchdomex]

Ik surf net wat vrolijk op Tweakers.net en ik weet niet waar het vandaan komt maar ik krijg vanuit mijn Avast een melding dat er een Trojaanspaard is gedetecteerd die binnen wil dringen. Ik post de link naar het stukje bestand wat ik binnenkreeg en hopenlijk an het worden opgelost. Ik weet zelf niet waar het vandaan komt zegmaar

http://gathering.tweakers...ID=Hd0zxfSkoi6ToYV4IyB5jF\{gzip}

[anandus]

Hier geen melding, maar heb je het topic ook gelezen?
De TS had z'n avatar op z'n eigen server gehost, welke compromised bleek te zijn.

Misschien had je z'n oude avatar in je cache staan ofzo?

[Touchdomex]

Ik zal eens mijn cache legen, ik kom namelijk door mijn Avast helemaal niet meer in de burt van die link Dus dat is best beroerd nu.

[Confusion]

Misschien heb je een 'preview' plugin aanstaan, die de gelinkte, compromised, site van de topicstarter alvast voor je aan het ophalen was? Wat overigens ook een goede reden is dat soort tools niet te gebruiken.

[Touchdomex]

Confusion schreef op dinsdag 08 september 2009 @ 08:36:
Misschien heb je een 'preview' plugin aanstaan, die de gelinkte, compromised, site van de topicstarter alvast voor je aan het ophalen was? Wat overigens ook een goede reden is dat soort tools niet te gebruiken.

Heb ik voor zover ik weet niet. Alles is bij mij zo standaard mogelijk. Op wat audiocodecs na. Gebruik Firefox 3.5. Zou ik dit kunnen zien als een incident? Of niet? Ik kan namelijk nog steeds niet naar die link toe en avast geeft nog steeds een melding OOK na het legen van mijn cache en internet geschiedenis

Hmm Internet Explorer 8 geeft ook een foutmelding en daar ben ik niet eens ingelogd ofzo

[ Voor 6% gewijzigd door Touchdomex op 08-09-2009 08:42 ]

[moto-moi]

Avast zuigt want het geeft allerlei stomme false positives de laatste tijd

[Admiral Freebee]

Avast 4.8.1351 met virusdefinities 090907-0 geeft hier net dezelfde melding met zowel Firefox 3.5 als IE8 onder Windows XP SP3. Volgens avast gaat het om: "HTML:IFrame-JP [Trj]"

[ Voor 16% gewijzigd door Admiral Freebee op 08-09-2009 09:00 ]

[Marzman]

moto-moi schreef op dinsdag 08 september 2009 @ 08:55:
Avast zuigt want het geeft allerlei stomme false positives de laatste tijd

Dat is helaas niet alleen bij Avast. Avira had bij mij laatst ook een Trojan gevonden die er niet was en na een databaseupdate van Avira weer verdwenen was.

[Touchdomex]

moto-moi schreef op dinsdag 08 september 2009 @ 08:55:
Avast zuigt want het geeft allerlei stomme false positives de laatste tijd

Maar ja wat moet ik dan gebruiken... AVG heb ik afgezworen want die vond nooit de trojans terwijl de hele PC er vol mee zat Avast geeft valse positive's en zo te lezen doet Avira dat ook... De beste 3 gratis antivirus pakketten heb ik dan gehad...

[anandus]

Touchdomex schreef op dinsdag 08 september 2009 @ 09:22:
[...]


Maar ja wat moet ik dan gebruiken... AVG heb ik afgezworen want die vond nooit de trojans terwijl de hele PC er vol mee zat Avast geeft valse positive's en zo te lezen doet Avira dat ook... De beste 3 gratis antivirus pakketten heb ik dan gehad...

Het risico op false positives is er natuurlijk altijd.
Overigens heb ik hier met Avira geen false positive op bovenstaande link.

[moto-moi]

Touchdomex schreef op dinsdag 08 september 2009 @ 09:22:
[...]
Maar ja wat moet ik dan gebruiken... AVG heb ik afgezworen want die vond nooit de trojans terwijl de hele PC er vol mee zat Avast geeft valse positive's en zo te lezen doet Avira dat ook... De beste 3 gratis antivirus pakketten heb ik dan gehad...

Tsja, geen idee

Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.1.2) Gecko/20090803 Ubuntu/9.04 (jaunty) Shiretoko/3.5.2 

gebruik ik zelf Het is gewoon nogal iritant dat mensen denken dat de site waar ze naar kijken een virus probeert op te sturen, terwijl ik bij wijze van spreken mijn hand in het vuur durf te steken dat wij dat nooit zijn

[Wilf]

Als ik hier op een Mac klik op die link dan opent hij Mail en wil hij de link toevoegen in RSS. Dat ligt zo te zien ook aan je link. Heb je in die topic ook last van een melding met een gewone URL?

[Touchdomex]

moto-moi schreef op dinsdag 08 september 2009 @ 09:26:
[...]

Tsja, geen idee

Mozilla/5.0 (X11; U; Linux x86_64; en-US; rv:1.9.1.2) Gecko/20090803 Ubuntu/9.04 (jaunty) Shiretoko/3.5.2 

gebruik ik zelf Het is gewoon nogal iritant dat mensen denken dat de site waar ze naar kijken een virus probeert op te sturen, terwijl ik bij wijze van spreken mijn hand in het vuur durf te steken dat wij dat nooit zijn

Ik kan ook wel weer mijn Macbook pakken of op deze PC weer eens Ubuntu zetten. Maar dat is nog steeds niet een goeie oplossing voor spelletjes

voor de rest van de dingen wel trouwens Ubuntu blijft hoe dan ook gebruiksvriendelijker dan welk OS er ook op de markt is

[.oisyn]

moto-moi schreef op dinsdag 08 september 2009 @ 08:55:
Avast zuigt want het geeft allerlei stomme false positives de laatste tijd

Zeur niet, beter false positives dan false negatives. Overigens is dit de eerste keer dat ik het tegenkom met avast, en het blijft imho het meest fatsoenlijke gratis antivirusprogramma

[ Voor 10% gewijzigd door .oisyn op 09-09-2009 10:24 ]

[Hahn]

Touchdomex schreef op dinsdag 08 september 2009 @ 09:22:
[...]

Maar ja wat moet ik dan gebruiken... AVG heb ik afgezworen want die vond nooit de trojans terwijl de hele PC er vol mee zat Avast geeft valse positive's en zo te lezen doet Avira dat ook... De beste 3 gratis antivirus pakketten heb ik dan gehad...

Ik heb nog nooit last gehad van false positives (of iig, tijdens het surfen niet) met Avira en ben het ook nog maar zelden tot nooit op internet tegengekomen dat anderen daar last van hebben. Het is vrijwel altijd AVG of Avast die lopen te bokken

[.oisyn]

't komt trouwens door deze post: Mopperman in "Website onveilig volgens Google"
.edit: en wellicht deze: webmail in "Website onveilig volgens Google"

.edit2: en wat mij betreft is de error van avast zeer terecht. De rss feed van die topic zorgt er namelijk voor dat alle html gestript wordt. Wat dus overblijft is letterlijk het malicious script waar avast voor waarschuwt.

moto-moi schreef op dinsdag 08 september 2009 @ 09:26:
[...]

Het is gewoon nogal iritant dat mensen denken dat de site waar ze naar kijken een virus probeert op te sturen, terwijl ik bij wijze van spreken mijn hand in het vuur durf te steken dat wij dat nooit zijn

Dus, ga maar vast naar het brandwondencentrum

[ Voor 96% gewijzigd door .oisyn op 09-09-2009 10:42 ]

[crisp]

RSS feed gefixed

[F_J_K]

.oisyn schreef op woensdag 09 september 2009 @ 10:33:
't komt trouwens door deze post: Mopperman in "Website onveilig volgens Google"
.edit: en wellicht deze: webmail in "Website onveilig volgens Google"

Ik heb ze even aangepast

[.oisyn]

Euh, nee. Het gaat om de contents van het script. Dat er <script> tags omheen staan doet er niet zoveel toe. De brackets wijzigen in { } zet dus geen zoden aan de dijk

crisp schreef op woensdag 09 september 2009 @ 11:03:
RSS feed gefixed

Hoe precies? Avast bokt nog steeds. Of is dat een lokale fix?

[ Voor 76% gewijzigd door .oisyn op 09-09-2009 11:12 ]

[crisp]

.oisyn schreef op woensdag 09 september 2009 @ 11:10:
Euh, nee. Het gaat om de contents van het script. Dat er <script> tags omheen staan doet er niet zoveel toe. De brackets wijzigen in { } zet dus geen zoden aan de dijk


[...]

Hoe precies? Avast bokt nog steeds. Of is dat een lokale fix?

Tsja, als Avast puur bokt op de content, zelfs al is die in de gebruikte context absoluut niet executable (wat ik dus gefixed heb - in sommige gevallen werden < en > niet correct (enkel maar naar &#60; en &#62; ipv naar &#38;#60; en &#38;#62;) geëncodeerd) dan houdt het natuurlijk een beetje op. Dan zouden we feitelijk zelf een virusscanner in onze parser moeten inbouwen

[.oisyn]

Tja, ik wil ook niet beweren dat het fixbaar is. Er staat malicious content in een post op GoT, en die wordt kaal geserveerd in een RSS feed. Dat dat verder niet schadelijk is kan de virusscanner ook niet weten (voor hetzelfde geldt bestaat er een RSS reader die het script wel gewoon keihard gaat uitvoeren, al zal dat door de missende <script> tags nu wel niet meer zo relevant zijn ).

Ik heb iig nog even de moeite gedaan om een false positive report in te vullen bij Avast, wellicht dat zij er ook iets aan kunnen doen door wat meer naar de context te kijken.

Maar je zou je nog kunnen afvragen of het niet tegen de policy van t.net is dat virus sourcecode gewoon in een post op GoT staat. Het lijkt me handiger om de hele content gewoon te verwijderen.

Voor de gebruikers van Avast: je zou t.net als exception kunnen opgeven bij de webshield. Customize de webshield settings, ga naar het tabblad exceptions, en voeg daar "http://*.tweakers.net/*" toe aan de URLs.

[ Voor 45% gewijzigd door .oisyn op 09-09-2009 12:13 ]

[Cloud]

.oisyn schreef op woensdag 09 september 2009 @ 12:04:
[...]

Ik heb iig nog even de moeite gedaan om een false positive report in te vullen bij Avast, wellicht dat zij er ook iets aan kunnen doen door wat meer naar de context te kijken.

Ik heb gister ook een false positive report ingevuld voor Avast. Geen idee of ze er iets aan kúnnen doen, maar dan zijn ze in elk geval op de hoogte.

[Wildfire]

.oisyn schreef op woensdag 09 september 2009 @ 12:04:

[..]

Voor de gebruikers van Avast: je zou t.net als exception kunnen opgeven bij de webshield. Customize de webshield settings, ga naar het tabblad exceptions, en voeg daar "http://*.tweakers.net/*" toe aan de URLs.

Zal wel kunnen, maar ik ga geen enkele site aan m'n exceptions toevoegen. Mocht er ooit toch iets verkeerds zijn dan detecteert het webshield het niet...

Foutmelding van Avast was trouwens de volgende:

[.oisyn]

Wildfire schreef op woensdag 09 september 2009 @ 12:23:
[...]

Zal wel kunnen, maar ik ga geen enkele site aan m'n exceptions toevoegen.

Zoals ik al zei, het zou kunnen als je dat wilt. Als je het niet wilt moet je het natuurlijk niet doen.

Overigens zie ik nu dat hij de normale topic ook als malware ziet? Volgens mij was dat vanmorgen nog niet zo, toen ging het alleen nog om de rss feed van de topic...

[ Voor 22% gewijzigd door .oisyn op 09-09-2009 12:45 ]

[iMars]

.oisyn schreef op woensdag 09 september 2009 @ 10:33:
't komt trouwens door deze post: Mopperman in "Website onveilig volgens Google"
.edit: en wellicht deze: webmail in "Website onveilig volgens Google"

.edit2: en wat mij betreft is de error van avast zeer terecht. De rss feed van die topic zorgt er namelijk voor dat alle html gestript wordt. Wat dus overblijft is letterlijk het malicious script waar avast voor waarschuwt.


[...]

Dus, ga maar vast naar het brandwondencentrum

Aaaii, komt het echt door mijn post? Mijn excuses daarvoor, wist niet dat het kwaad kon (dacht dat alles werd ge-escaped e.d.).

[.oisyn]

webmail schreef op woensdag 09 september 2009 @ 15:49:
[...]

Aaaii, komt het echt door mijn post?

Geen idee, ik heb jouw post niet geverifieerd. Ik zei daarom ook "wellicht". Met name omdat de contents van die ene variabele die door die decoding functie wordt gegooid gewoon in je post stond, en ik vermoed dat de virusscanner daarover valt.

Mijn excuses daarvoor, wist niet dat het kwaad kon (dacht dat alles werd ge-escaped e.d.).

Nou, da's een beetje het punt, het kan ook niet echt kwaad. Maar omdat het toch malware content is kunnen virusscanners erover vallen . Vergelijk het met een stuk malware code dat je in een bmptje transporteert. Als je 'm opent in een viewer zul je voornamelijk random pixels zien, en het kan geen kwaad omdat de code nooit daadwerkelijk uitgevoerd wordt. Maar een virusscanner zal het weldegelijk herkennen.

[ Voor 17% gewijzigd door .oisyn op 09-09-2009 16:31 ]

[Wildfire]

.oisyn schreef op woensdag 09 september 2009 @ 12:43:
[...]

Zoals ik al zei, het zou kunnen als je dat wilt. Als je het niet wilt moet je het natuurlijk niet doen.

Overigens zie ik nu dat hij de normale topic ook als malware ziet? Volgens mij was dat vanmorgen nog niet zo, toen ging het alleen nog om de rss feed van de topic...

Op het moment dat ik op GoT op het topic klik krijg ik deze melding... dus niet de RSS-feed ofzo.

[F_J_K]

.oisyn schreef op woensdag 09 september 2009 @ 16:29:
Nou, da's een beetje het punt, het kan ook niet echt kwaad. Maar omdat het toch malware content is kunnen virusscanners erover vallen . Vergelijk het met een stuk malware code dat je in een bmptje transporteert. Als je 'm opent in een viewer zul je voornamelijk random pixels zien, en het kan geen kwaad omdat de code nooit daadwerkelijk uitgevoerd wordt. Maar een virusscanner zal het weldegelijk herkennen.

offtopic:
Herkennen natuurlijk. Maar het is imho niet iets om de boel voor te blokkeren. Of blokkeer anders ook pagina's met form*t C:
Het als scripts herkennen is iig waarom ik toch zelfs de <> verwijderde: dan is het helemaal gewone platte tekst geworden en zal zelfs de meest brakkke(c.q. slimme) browser het niet herkennen als iets dat het moet uitvoeren.

Ik haal trouwens even een aantal ??? uit de topictitel.

[ Voor 3% gewijzigd door F_J_K op 09-09-2009 18:15 ]