Virus op IBANBICSERVICE.nl ?

[Jaïr.exe]

Beste Tweakers,

Vandaag moest ik mijn vader helpen met zijn administratie op zijn digiID, via deze website werden wij naar [url="nietklikken"]https://www.ibanbicservice.nl/Homepage.aspx[/url] gebracht. Na het drukken op de 'IBAN BIC Check' kreeg ik een virus melding van mijn antivirus programma. Na het bekijken van het aard van het programma, bleek dus dat die 3 bestanden opsloeg en één registry entry had ingevoerd. Vooral de locatie 'Appdata/Roaming' is een bekende plek waar virussen zich opslaan (vooral de tegenwoordige malware/RAT's/Zeus-varianten).

Ook gekeken naar de broncode, blijkt het programma via javascript te worden opgestart:

<script type="text/javascript">
//<![CDATA[
Sys.Application.initialize();
//]]>
</script>

Kan iemand dit bevestigen of zit ik fout? Ik dacht laat ik het de echte experts vragen!

Edit: Ik heb contact geprobeerd te zoeken via hun contactformulier. Ook heb ik de helpdesk van digiID/werk.nl geïnformeerd hierover (want zij linken naar de IBANBICSERVICE website), echter 'mocht' dit een bevestigde virus zijn door experts, dan heeft tweakers de reputatie dit soort gevallen te versnellen wat betreft reparatie/opschoning.

[ Voor 18% gewijzigd door Jaïr.exe op 09-08-2012 11:51 ]

[Pogostokje]

Misschien moet je die link in je post even verbasteren. De default-reactie van iedereen is altijd ergens op klikken voor het allemaal te lezen, dat is nu wellicht niet zo verstandig.

[MAX3400]

https://www.virustotal.co...f83b/analysis/1344505857/ geeft weinig.

Daarbij, de code die je post lijkt meer op een soort van inline app om iets te controleren; hier op Firefox & Server 2012 geen enkele melding van "virus".

[Cloud]

De javascript in die code is niets bijzonders en zeker niet per definitie kwaadaardig. Die code zul je namelijk terugvinden op elke website die met ASP.net gemaakt is en gebruik maakt van AJAX. Dat zijn echt héél veel pagina's op het internet.

Sluit niet uit dat er iets mis is op die pagina, maar het zou ook zeker een false positive kunnen zijn.

[ Voor 8% gewijzigd door Cloud op 09-08-2012 11:55 ]

[Jaïr.exe]

MAX3400 schreef op donderdag 09 augustus 2012 @ 11:52:
https://www.virustotal.co...f83b/analysis/1344505857/ geeft weinig.

Daarbij, de code die je post lijkt meer op een soort van inline app om iets te controleren; hier op Firefox & Server 2012 geen enkele melding van "virus".

Het gaat meer om de executable die wordt geopened na het drukken op die knop van IBAN BIC Check, die zou wellicht op een andere website kunnen zijn opgeslagen en niet op hun huidige filedirectory.
Een website scan zal volgens mij niet veel nut hebben, maar zelf download ik het virusbestand niet aangezien ik niet precies weet wat het doet (zou zomaar een rootkit kunnen hebben).

[MAX3400]

Ik krijg geen EXE-bestand te zien; mogelijk gebruik je een oudere browser die niet precies weet wat 'ie met moderne internet-pagina's moet doen?

Anders kan je de vraag natuurlijk ook bij IBAN zelf neerleggen

[ralpje]

En als je hem eens download (dus opslaan, niet uitvoeren) en vervolgens instuurt bij bijvoorbeeld Jotti?

[Jaïr.exe]

ralpje schreef op donderdag 09 augustus 2012 @ 11:57:
En als je hem eens download (dus opslaan, niet uitvoeren) en vervolgens instuurt bij bijvoorbeeld Jotti?

Dat is 'm nou net, het bestand wordt onmiddellijk uitgevoerd, ik krijg geen optie om op te slaan.

[Jaïr.exe]

Waarschijnlijk heeft de netwerkbeheerder het virus weggehaald van de website. Via de computer waar ik de melding kreeg is er nu geen melding meer na het drukken van de IBAN BIC Check. Ik weet zeker dat het geïnfecteerd was omdat de melding telkens kwam als ik daarop drukte, en nu niet meer, dus is het opgelost