Sinds vanavond belt 1 van mijn klanten dat zij een vage Engelse melding krijgt op haar website.
Ik kijken en krijg ik het volgende te zien:



Ik kan nergens zien dat er wat aangepast is o.i.d. in de scripts, maar het lijkt me niet dat een organisatie als ICANN ineens een website overneemt.
Het lijkt me dan ook zeer onwaarschijnlijk dat dit echt is.

Alle wachtwoorden zijn in ieder geval aangepast, maar ik kan nergens op de joomla pagina zien dat dit er staat.
Ik denk dus dat er nu iets van een plugin word gebruikt om deze content te laden.
Iemand die hier eerder van gehoord of gezien heeft?

Met vriendelijke groeten,

Mark Remijn

volgens mij is je site gehackt.

-edit

hij is gehackt: beautyenskin.nl/bro.php?404%3bhttp%3a%2f%2fwww.plimun.com%3a80%2fb ro.php%3fi=beautyenskin.nl%2f << NIET KLIKKEN, zie broncode

Klokt, ik dacht al, dat kan nooit kloppen.
Ze zijn de ftp server niet ingekomen, want dat bestand bestaat niet.

Mijn grootste zorg is hoe ik deze rotzooi van de website kan halen.
Morgen maar eens kijken of ik een backup van 2 dagen geleden kan vinden ofzo.

Heb je ook al eens gepingt? Komt hij nog wel op je server uit?

Bekijk even de dns records voor de zekerheid.
Zie dat hier nogal wat mist bij gaat.

Waarschijnlijk staat er iets van een iframe op je website naar plimun.com.

De melding die je op plimun.com krijgt is van Enom.
Sinds 1 Janurai ben je verplicht om je e-mailadres uit de WHOIS te bevestigen. Als je dit niet doet zal binnen x weken je domeinnaam op deze pagina uitkomen van Enom (Enom is een icann registar).

De website op plimun.com is nu niet schadelijk en bevat geen malware. Maar mogelijk dat deze vandaag gedeactiveerd is door Enom en er voorheen wel malware op stond maar het mailadres is dus nooit bevestigd en daarom is het nu offline.

Na een backup van 3 dagen geleden (zondag) blijft de melding nog steeds staan.
Mijn klant weet zeker dat de melding er toen nog niet op stond, dus zou het toch een slecht geďmplementeerd iets van ICANN zijn?

Nee absoluut niet, op een .NL domeinnaam doet/kan ICANN dat niet.

Er staat vreemde code in:

<form method="post" action="bro.php?404%3bhttp%3a%2f%2fwww.plimun.com% 3a80%2fbro.php%3fi=beautyenskin.nl%2f" id="form1">

Dit zit er dus waarschijnlijk al langer in dan de backup van 3 dagen geleden.

Opgelost,

Er zat een virus in de slider die ik al een tijdje gebruikte (voor meer informatie: http://blog.sucuri.net/2013/04/when-...mla-sites.html)

Na het deactiveren van deze plugin was de tekst van ICANN ook weg.