Ämne: virus på forumet

[Skorsten]

idag fick jag en varning om att det var ett virus (Bloodhound.Exploit.196) när jag klickade på
(Till Forumet) det verkar vara virus på forumet!!!

[kjulakalle]

hej
händer det bara när du länkar till VP-forumet?
Kanske du har något som vill ut på linjen oavsett var du går?
Kolla denna länken:

http://support.f-secure.com/enu/home/onlineservices/fshc/front.html
//kjulakalle

[Skorsten]

har redan kollat datorn på f secure o onecare o mitt eget norton jag verkar inte ha nå virus

[Rickard]

Det är några som hört av sig om larm igår och idag, jag letar febrilt efter vad orsaken kan vara men hittar inget.
Jag fortsätter dock att leta och uppgradera alla mjukvaror jag använder.
Forumet körs på en linuxserver, så det är ingen större risk föf virus på servern, utan i så fall antagligen någon form av javascript som injekterats i ett inlägg eller i en bild.

Ser ni några ledtrådar om var eventuella trojaner gömmer sig får ni gärna tipsa om det.

Mitt eget antivirusprogram larmar tyvärr inte för något vilket gör det svårt att hitta nåt.

[jasa]

Hej får virus varning när jag öppnar forumet info enligt nedan.


HEUR/HTML.Malware - Heuristic See also           
 Summary  Full description  Statistics 
 


Virus: HEUR/HTML.Malware
Type: AHeAD Heuristic special detection
In the wild: No
Reported Infections: Low
Distribution Potential: Low
Damage Potential: Low
Static file: No

 

[Sture]

Fick viruslarm i går morse, Trojan.JS.Agent.db. Lyckades efter en hel dags letande på nätet och telefonsamtal med Telia supportbredband rensa datorn. Fick starta i felsäkert läge och via Telia hämta F-Secure on line och scanna disken. Programmet hittade viruset och sju "spyware" som togs bort.  Enligt Telia så är det många som drabbats i dagarna...

Sture

[Rickard]

Söndag eftermiddag hittade vi en virusfil på forumets server.
Vi (jag och de tre "experter" som arbetat med problemet) misstänker att det kommit via ett par iframe-taggar som jag använt på sidan, de är nu bortplockade liksom virusfilen som fanns på forumet. (Togs bort söndag vid lunch)
Enligt webhotellets experter planterades viruset den 2 okt, så det kan kanske vara så att en del blivit smittade för några dagar sedan utan att det visat sig, men att viruset på något sätt triggas av domännamnet.

Jag har fått för mig att de soim drabbats har dåligt uppdaterade operativsystem och webläsare samt likaså dåligt uppdaterade antivirusprogram.
Som ni säkert förstår så är jag djupt berörd av detta, och har arbetat mer eller mindre all ledig tid för att se om det finns nåt mer, men varken jag eller de experter som tittat på problemet kan se att det finns nåt kvar på min server.

Ni kan ju prova söka efter en fil på er dator som heter 999index.php , hittar ni en sådan fil - ta bort den utan att öppna den!

Jag kan tillägga att jag inte fått några larm alls på hela tiden vilket gjort det ännu svårare för mig (detsamma gäller för övrigt alla andra som jag tagit hjälp av - inga larm...)

[Farbror Sven]

Rickard!
Du ska ha all heder för hur seriöst du arbetar!

Farbror Sven

[Håkan L]

Rickard.

Öppnade sidan på jobbet i morse, slutade med att IT centrum på jobbet fick installera om hela XP.

Tydligen laddades något script ner på datorn så den inte gick att starta igen.

Hann tyvärr inte kolla vad som hände.

Mvh Håkan

[Lmf]

Jag har fått för mig att de soim drabbats har dåligt uppdaterade operativsystem och webläsare samt likaså dåligt uppdaterade antivirusprogram.

Nja det behöver inte vara dåligt uppdaterad OS/webläsare eller antivirus
Om man får en Virus varning så har ju faktiskt antivirus programet arbetat som det ska.

Själv kör jag XP sp3 med IE7 samt Symantec antivirus corporate edition V9.0 som uppdateras automatiskt varje fredag kl 15

Ni kan ju prova söka efter en fil på er dator som heter 999index.php , hittar ni en sådan fil - ta bort den utan att öppna den!

Samma om ni har en fil som heter 1[1].pdf (som innehåller bloodhound)
sen kanske man skall tömma webhistoriken (temporära internetfiler, cockies osv.) så man inte har något gammalt som triggas av domän namnet precis som Richard skrev.

Om man får en Virus varning kan man försöka se vad som hände, om något såg annorlunda ut,något som inte laddade på sidan osv. osv. detta kan hjälpa otroligt mycket vid sökning av oönskade filer .


Sen vill jag passa på att tacka för allt det arbete du lagt ner för att lösa problemet.


EDIT: Såg precis Lindahl H post tråkigt när det händer men jag måste fråga vilket antivirus använder ni på jobbet?
Det programmet kanske inte larmar för bloodhound som i sin tur kanske laddar hem något än värre som orsakat låsningen så XP fick installeras om.

[Håkan L]

Hej
Jobbar på ett företag med över 2500 burkar, vi kör symantec antivirus som uppdateras regelbundet. Tyvärr hann jag inte se vad som hände. Kan ju göra ett nytt test imorgon.

//Håkan

[Rickard]

Jag får i alla fall för mig att de som drabbats sedan i söndags kopplat upp sig från datorer som inte varit inne på sajten sedan före helgen.

Även jag rekommenderar att man rensar tidigare internetfiler, cookies och gärna "temp-mappen" innan man kopplar upp sig med en dator som inte varit inne på forumet sedan före helgen.

[Rickard]

Är det nån som vet om det finns några antivirus-scanners som scannar sajter, och inte bara PC:ar?
Jag har letat i timmar utan att hitta nåt sånt, borde väl vara rätt intressant för många?

[Lmf]

Har inte hittat någon som scannar en hel sida men jag vet en som kollar länkar och script och så här blev resultatet när jag scannade varmepumpsforum.com

 Checking: http://www.varmepumpsforum.com
Engine version: 4.44.0.9170
File size: 54.48 KB

http://www.varmepumpsforum.com - archive HTML
>http://www.varmepumpsforum.com/Script.0 - Ok
>http://www.varmepumpsforum.com/Script.1 - Ok
>http://www.varmepumpsforum.com/Script.2 - Ok
>http://www.varmepumpsforum.com/Script.3 - Ok
http://www.varmepumpsforum.com - Ok

Checking: http://yyyyyyy.xxxxxxxxx.zzz/pagead/show_ads.js
File size: 54.69 KB

http://yyyyyyy.xxxxxxxxx.zzz/pagead/show_ads.js - Ok


Du hittar scannern här
http://online.us.drweb.com/?url=1


PS! Lustigt Lindahl H min Symantec nöp den skadliga filen direkt

[Rickard]

Hittade en fil till som var ändrad den 6 okt som jag inte varit och petat i, har deletat den och lagt in en ny direkt från installationsbiblioteket.

Skall kolla upp onlinescannern