AW: Trojaner in der aktuellen exe ?
Hallo,
wir haben ein großes Problem und ich kann nicht beurteilen ob JTL die Ursache ist.
Angefangen hat alles mit einem Kundenschreiben, wo uns mitgeteilt wurde, dass sich auf unserer Homepage
Bootskiste Bootszubehr Shop - Startseite ein Virus befindet.
Wir haben auch auf unserem Server bei server4you folgenden Trojaner gefunden:
Trojan-Downloader.JS.Iframe.cqj
Der Trojaner wurde entfernt, aber die Probleme weiteten sich aus.
Als nächstes wurde unser Mailprogramm blockiert, beim Senden bzw. Empfangen gibt es folgende Fehlermeldung:
DrWeb-DAEMON [DrWEB-DAEMON@bravo676.server4you.de]
Dear User,
the message with following attributes has not been delivered, because contains an object which cannot be checked by antivirus filter.
Relaying such messages is blocked by administrator.
Sender =
joerg.goblirsch@bootskiste.de
Recipients =
info@bootskiste.de
Subject = test 2012
Message-ID = <60C7178CB55C4DC3AA90FD9EA2AE6CEB@Joerg>
Antivirus filter report:
--- Dr.Web report ---
Dr.Web detailed report:
127.0.0.1 [1214] drweb.tmp.piyNTR - archive MAIL
127.0.0.1 [1214] drweb.tmp.piyNTR/[text
😛lain] - Ok
127.0.0.1 [1214] drweb.tmp.piyNTR/winmail.dat - archive TNEF
127.0.0.1 [1214] >drweb.tmp.piyNTR/winmail.dat/0.file - Ok
127.0.0.1 [1214] >drweb.tmp.piyNTR/winmail.dat/ - read error!
--- Dr.Web report ---
Please contact <postmaster>
Dieses Problem besteht noch immer, komischerweise nur bei zwei Mailanschriften, andere funktionieren ohne Probleme.
Gestern haben wir aus Zufall festgestellt, dass sich beim Aufruf unserer Homepage
Versandmaterial: - Bootszubehr-Online.de der Media Player öffnet.
So wie ich es sehe, kommt dies nur beim Betriebssystem XP vor, bei Rechner die bei mit Windows7 laufen wird der Media Player nicht geöffnet.
Der Trojaner bzw. Virus muss sich bei uns weiter ausbreiten, haben gestern von ebay folgende Meldung erhalten;
Sind jetzt für weitere Käufe und Transaktionen gesperrt. Können über ebay auch keine Kundenfragen mehr beantworten.
Hinweis
Eines oder mehrere Ihrer aktuellen Angebote enthält Code, der mit einer verdächtigen Website verknüpft ist. Dies verstößt gegen unseren Grundsatz zur Verwendung von Skriptsprachen (HTML und JavaScript).
Bitte beheben Sie dieses Problem in Ihren Angeboten. Wir haben Ihnen diesbezüglich eine E-Mail an Ihre registrierte E-Mail-Adresse gesendet. Bis dahin können Sie keine weiteren Angebote einstellen und keine Artikel kaufen.
Hier ein paar Daten die evt. wichtig sind:
Domains:
Bootskiste Bootszubehr Shop - Startseite
Willkommen
Server ist bei server4you
Mails laufen auch über server4you
Unser Homepage wird mit JTL betrieben und darüber stellen wir auch in ebay ein.
Ich habe bis jetzt alle Rechner mit diversen Programmen auf Viren usw. überprüft, es wurde nichts gefunden, mache seit ein paar Tagen auch Netzwerkaufzeichnungen mit Microsoft Network Monitor 3.4.
Hat noch jemand damit ein Problem ?
Jörg Goblirsch
