[fp/bug] Trojan bij "Jobs" volgens Kaspersky

[Elijan9]

(Ik denk dat dit de juiste plek is om dit te melden?)
Kaspersky geeft aan dat de volgende URL een Trojan bevat:
http://tweakers.careercas...7184//tweakers.careercast

Met mijn beperkte kennis van javascript zie ik geen alarmerende dingen, dus waarschijnlijk een false positive. Maar het lijkt me wel nuttig dit even op deze manier door te geven...

[crisp]

Ik zie daar ook niets raars. Feit is echter ook dat het een extern platform betreft waar wij zelf niet veel mee kunnen doen...

[Elijan9]

De URL werd trouwens geladen vanuit:
jobs: Senior Linux Engineer

Echter, het is het niet afhankelijk van de jobid, voor elke job wordt door Kaspersky melding gemaakt van dezelfde trojan, te weten: Trojan-Downloader.JS.Iframe.cda

Ik nam aan dat het een gerelateerd intern platform was, maar Tweakers.net kan hier inderdaad dan weinig aan doen. Het lijkt mij wel nuttig een melding hiervan nog even te laten staan, aangezien iedere bezoeker met Kaspersky deze melding nog steeds krijgt bij elke willekeurige job.

(Ik neem aan dat jullie de melding wel doorzetten naar de juiste partij.)

[crisp]

Het zal wel door dit stukje code komen op die pagina:

HTML:

<script type="text/javascript">
    document.write("<iframe src=\"http://tweakers.net/ext/logview/?pageId=20&time=", starttime, "\" width=\"0\" height=\"0\" frameborder=\"0\"></iframe>");
</script>

Maar op zich is daar niets mis mee; niet elk dynamisch gegenereerde iframe die verwijst naar een ander domein is malicious. Dus in feite is dit gewoon een false-positive van Kaspersky...

Verwacht je nu dat we dit doorzetten naar Kaspersky???

[Elijan9]

Ik bedoelde natuurlijk naar http://tweakers.careercast.com, die mogen het wat mij betreft toch zelf regelen met Kaspersky? Jullie hebben wel wat beters te doen...

[ Voor 8% gewijzigd door Elijan9 op 16-02-2011 15:18 ]

[Hennie-M]

Ik schop dit topic even omhoog omdat ik het na een aantal weken niets meer gezien te hebben ook weer deze melding kreeg.

Ik kreeg het bij deze url: jobs: Citrix systeem-/netwerkbeheerder
(Het is waarschijnlijk een false positive, maar als je geen risico wil lopen klik je niet op de link)
Edit: ik zie weer dat ik beter vroeg naar bed had kunnen gaan..

[ Voor 7% gewijzigd door Hennie-M op 21-03-2011 17:37 ]

[bitshape]

Zet "127.0.0.1 tweakers.careercast.com" even in het HOSTS bestand op je pc, dan is deze melding permanent weg daar er geen connectie meer gemaakt kan worden met de tweakers.careercast.com servers.

Zelf kreeg ik hem ook bij elke Job, en ik wil helemaal geen iframe/script laden van careercast.com.
Volgens mij is dit de Heuristiek-scanner die dit detecteert, en volgens mij is dit bedoeld voor Data-Mining toepassingen door careercast.com. Of heeft iemand andere ideeën hierover?


@crisp, kan jij ons uitleggen hoe er in hemelsnaam een koppeling naar een iframe/script op de servers van careercast.com ontstaat, ondanks dat dit niet in de code van de Jobs-pagina's staan?

"een dynamisch gegenereerde iframe die verwijst naar een ander domein", wtf? Waar is de verwijzing dan?

[ Voor 31% gewijzigd door bitshape op 22-03-2011 23:03 ]

[crisp]

bitshape schreef op dinsdag 22 maart 2011 @ 22:24:

@crisp, kan jij ons uitleggen hoe er in hemelsnaam een koppeling naar een iframe/script op de servers van careercast.com ontstaat, ondanks dat dit niet in de code van de Jobs-pagina's staan?

in de js:

JavaScript:

// Request Adicio job page
function requestAdicioJobpage(jobId)
{
    var adicioRequest = new Image();
    adicioRequest.src = 'http://tweakers.careercast.com/careers/jobsearch/detail?jobId=' + jobId + '&rand=' + Math.round(Math.random() * 100000);
}

een heel erg brakke manier dus om vanuit onze kant ook een pageview te laten genereren op careercast (ik heb het niet verzonnen...)

"een dynamisch gegenereerde iframe die verwijst naar een ander domein", wtf? Waar is de verwijzing dan?

Die iframe wordt weer aan de andere kant (op careercast zelf dus) aangemaakt om aan onze kant weer een pageview te registreren.

Gelukkig stapt VNU dit jaar over op een ander platform...

[bitshape]

Thanks crisp!
Het is dus voor het genereren van pageviews bij cq. door tweakers.careercast.com bedoeld.

Dat Kaspersky dit als een trojan-downloader ziet, is doordat juist dit specifieke gedrag,
nl: een dynamisch gegenereerde iframe die verwijst naar een ander domein, wordt opgemerkt door de Heuristiek-scanner van Kaspersky.

Alsnog zal ik de HOSTS-entry op m'n PC laten staan, daar ik geen zaken doe en wil doen met careercast.com.

[Verwijderd]

Ik zal morgen eens kijken of ik het kan reproduceren (en fixen) aan onze kant.

[moto-moi]

bitshape schreef op woensdag 23 maart 2011 @ 03:16:
Thanks crisp!
Dat Kaspersky dit als een trojan-downloader ziet, is doordat juist dit specifieke gedrag,
nl: een dynamisch gegenereerde iframe die verwijst naar een ander domein, wordt opgemerkt door de Heuristiek-scanner van Kaspersky.

Dat betekend dus ook dat er een bug in die Kaspersky code zit, zoals Schouw al aangeeft (hoi Schouw! )

[Verwijderd]

Heb het zojuist weten te reproduceren. WIll be fixed.