Website besmet met Javascript code.

[iboowtje]

Beste Tweakers,

Op 3 mei was mijn Wordpress website besmet met een Javascript code. Mijn anti-virusscanner NOD32 gaf aan dat het om een JS/Kryptik.AJZ trojan ging. Nadat ik de Javascript code had geüpload op VirusTotal bleek het om JS/Exploit-Blacole.le te gaan. Ik heb de logs doorgespit maar zonder resultaat.

Virustotal rapport:https://www.virustotal.co...27409c25ef1d204/analysis/

Nu wil ik de Javascript code decrypten om de herkomst ervan te achterhalen.
http://pastebin.com/bhHPuJmX

Mijn 2 de vraag is, heeft dit te maken met de onderstaande nieuwsartikel ?
http://securityaffairs.co...or-serving-blackhole.html

Alvast bedankt

[Deef_K]

Deze javascript zit waarschijnlijk gewoon verwerkt in één van je thema bestanden. Dus even die regel opzoeken, er uit slopen en je wordpress updaten. Gelijke je wachtwoord veranderen.

[Thralas]

Die Apache backdoor lijkt me niet direct relevant. Eerder je Wordpress install - er zijn de laatste tijd weer wat lekke plugins, loop dat dus even goed na.

[azerty]

Heb je een DM gestuurd met de ontsleutelde JS code. Veel plezier ermee

Ik denk trouwens ook dat het een wordpress exploit zal zijn, dat gebeurd nu eenmaal zo vaak.

[ Voor 40% gewijzigd door azerty op 04-05-2013 16:39 ]

[iboowtje]

wsitedesign schreef op zaterdag 04 mei 2013 @ 16:39:
Heb je een DM gestuurd met de ontsleutelde JS code. Veel plezier ermee

Ik denk trouwens ook dat het een wordpress exploit zal zijn, dat gebeurd nu eenmaal zo vaak.

Bedankt, ik heb catch(d21vd12v) via Google opgezocht, het lijkt erop dat er ook andere websites zijn besmet die geen Wordpress draaien. Daarnaast heeft het alle index bestanden van de subdomeinen ook besmet.

Hoe heb jij trouwens de Javascript code decrypt ?

[azerty]

iboowtje schreef op zaterdag 04 mei 2013 @ 17:07:
[...]


Bedankt, ik heb catch(d21vd12v) via Google opgezocht, het lijkt erop dat er ook andere websites zijn besmet die geen Wordpress draaien. Daarnaast heeft het alle index bestanden van de subdomeinen ook besmet.

Hoe heb jij trouwens de Javascript code decrypt ?

Code diagonaal gelezen, gezien dat de laatste regel in de catch basically een eval was, dus dat vervangen door een console.log en de code in firebug console uitgevoerd.

Het domein dat er in staat zal trouwens ook wel een gehackte server/site zijn, maar misschien kun je wel de eigenaar daarvan inlichten zodat hij die code kan weghalen.

Update: als je inderdaad op die catch... zoekt zie je dat het vooral wordpress en joomla is, dus zal wel een bot zijn die crawlt en automatisch naar exploits zoekt.

[ Voor 23% gewijzigd door azerty op 04-05-2013 17:15 ]

[photofreak]

Het is duidelijk een iframe inject van een live landingpage.
Als je software (en dan vooral je Java) niet up-to-date is zal ik me ernstig zorgen gaan maken of je niet besmet bent.

resultaten: http://pastebin.com/creANqJh

Het direct bezoeken van de url in de paste zorgt er echter niet voor dat je besmet wordt

[ Voor 17% gewijzigd door photofreak op 04-05-2013 18:24 ]

[LnC]

Als ik zo kijk op de Virustotal link is dat deze exploit nog geheel bekend is bij de Anti-virus makers. Misschien een idee om deze een sample te sturen zodat zij hier verder onderzoek naar kunnen doen?

[photofreak]

LnC schreef op maandag 06 mei 2013 @ 12:45:
Als ik zo kijk op de Virustotal link is dat deze exploit nog geheel bekend is bij de Anti-virus makers. Misschien een idee om deze een sample te sturen zodat zij hier verder onderzoek naar kunnen doen?

Meh, meestal zit er een pdf exploit (CVE-2010-0188), java exploit (CVE-2013-2423 + waarschijnlijk nog wat oudere) en misschien ook nog een IE exploit (CVE-2012-1889) in zo'n exploitation kit. Maar dat is ook afhankelijk van settings in exploit pack en welke software je draait. Maar de java exploit voor CVE-2013-2423 is wel redelijk doeltreffend. o_o

Verder zal het wel een banking trojan, dropper of politievirus zijn.