Aktuelle Trojanerwarnung

[Pipsi]

Mahlzeit!

Ich will vor einem aktuell sein Unwesen treibendem Scriptkiddie warnen.

Sollten bei Euch beim Anklicken eines Beitrages Updatehinweise für ein "dringendes Sicherheitsupdate" für den "Adobe Flash Player" aufgehen und ein Programmdownload aufgehen - nicht annehmen.

Es handelt sich dabei um ein Script, welches anscheinend in erster Linie über vBulletin® Foren verbreitet werden soll und welches sich weitere Programme aus dem Internet nachladen soll. Antivir z.B. erkennt diese datei als 'TR/Dropper.Gen'

der User registriert sich momentan in sämtlichen Foren (u.a. auch schon bei MFF) als "AnaJu" und verteilt seine Beiträge.

[itti1971]

danke für den tip.

[BoAndy1966]

Solcher "Popup Code" lässt sich teilweise sehr einfach in die Forensoftware vor der Version 3.7.5 einsschleussen.
Ein aktiver Nutzeraccount reicht meist schon aus.

[DFX]

Genau das Teil wurde heute von AntiVir bei mir gefunden.

http://forum.chip.de/viren-trojaner-wuermer/tr-dropper-gen-trojaner-fehlmeldung-1035707.html

Laut intelligentester Antwort ein Fehlalarm.
Gefunden wurde das Teil auf einer Partition, die ich seit mindestens 18 Monaten nicht mehr gescannt habe.....

[Terra Inc.]

'TR/Dropper.Gen' steht für: Einen Trojaner, der irgendwas nachlädt bzw. abwirft, generisch. Also beschreibt was das Ding macht, ist aber nicht der Name eines speziellen Trojaners. Wenn Du also sowas auf Deinem PC findest, ist es sicher etwas häßliches, aber muß nicht das gleiche Ding sein was hier im Forum zugegen ist.

[linux_blAcky]

hi....

ich wäre grundsätzlich vorsichtig bei diesen viechern. gerade ein dropper kann ja, wie bereits gesagt, zum einfallstor für allen möglichen schädlichen kram sein.
ob das ding ein "schläfer" ist weiss man ja auch nie.........
ich würde im erkennungsfall als erstes spybot search & destroy (notfalls im abgesicherten modus) ranlassen, alternativ bzw. im falle eines misserfolgs ein bootmedium a'la knoppicillin oder insert verwenden. wenn das installierte windows nicht aktiv ist können derlei schädlinge problemloser gelöscht werden (win-systemdateischutz).


mfg,

blAcky

[Xerxes]

kondome schützen, hier als antivirus , firewall etc

[linux_blAcky]

kondome schützen, hier als antivirus , firewall etc

das stimmt, aber wenn das mistding über port 80 aktiv ist nutzt die beste firewall oder der schlechteste packetfilter nichts. ;-(

[Pipsi]

Wenn Du also sowas auf Deinem PC findest, ist es sicher etwas häßliches, aber muß nicht das gleiche Ding sein was hier im Forum zugegen ist.

Bisher ist mir dieses Ding oder der user auch noch nicht hier im Forum aufgelallen - jedoch in ettlichen anderen Foren.

Da taucht dann User "AnaJu" auf, registriert sich kurz und schreibt 1-5 beiträge, in denen dann der "Dropper" auftaucht...
Ist glaube ich nur eine Frage der Zeit, bis er hier auch auftaucht - daher die Warnung!

[Pipsi]

Solcher "Popup Code" lässt sich teilweise sehr einfach in die Forensoftware vor der Version 3.7.5 einsschleussen.
Ein aktiver Nutzeraccount reicht meist schon aus.

Ich hab dieses Ding jetzt schon in einem VBulettin-Forum mit der Version 3.8.1 gesehen - was helfen soll ist, wenn der Admin das Einfügen von Scripts unterbindet.

Wie gesagt - Augen auf!

Wer mag kann ja spaßeshalber man "AnaJu" und "Forum" bei google eingeben... der Kerl hat echt ne Ausdauer....

Genau das Teil wurde heute von AntiVir bei mir gefunden.

http://forum.chip.de/viren-trojaner-wuermer/tr-dropper-gen-trojaner-fehlmeldung-1035707.html

Laut intelligentester Antwort ein Fehlalarm.
Gefunden wurde das Teil auf einer Partition, die ich seit mindestens 18 Monaten nicht mehr gescannt habe.....

Schau mal hier Trojaner Board.de da solltest Du Hilfe finden....

[DFX]

Ich habs entfernt. TrojanerBoard hat erstklassige Informationen, leider nicht in einer Sprache, die ich auch nur annähernd verstehen würde...

Spybot im abgesicherten Modus hat das Problem gelöst.
Wie gesagt, das Teil befand sich auf meiner E-Partition und da war es sicherlich schon sehr sehr lange.
Es war ima tube catcher-Vereichnis und wurde wohl mit dem Programm geliefert.
Ich konnte es auch nicht eindeutig als böses Teil identifizieren, es gibt unterschiedliche Aussagen im Netz.

Gruß

M

[DFX]

Ich habs entfernt. TrojanerBoard hat erstklassige Informationen, leider nicht in einer Sprache, die ich auch nur annähernd verstehen würde...

Spybot im abgesicherten Modus hat das Problem gelöst.
Wie gesagt, das Teil befand sich auf meiner E-Partition und da war es sicherlich schon sehr sehr lange.
Es war im a tube catcher-Verzeichnis und wurde wohl mit dem Programm geliefert.

Ich konnte es auch nicht eindeutig als böses Teil identifizieren, es gibt unterschiedliche Aussagen im Netz, was sicherlich auch daran liegt, dass Computerfreaks zwar auf ihrem Gebiet (oft) genial sind aber klare Defizite beim Textverständnis haben.

Gruß

M

[BoAndy1966]

Ich hab dieses Ding jetzt schon in einem VBulettin-Forum mit der Version 3.8.1 gesehen -

Ob nun Version 3.7 oder 3.8 ist nicht so entscheidend als die Aktualität der eingespielten Patches.
Also 3.7.5 oder 3.8.3.

[Pipsi]

JETZT hats VBulettin auch kappiert.....

21. Juli 2009

Wir erhalten in letzter Zeit vermehrt Hinweise, dass sich Benutzer in Foren registrieren und Javaskript-Code in ihre Beiträge schreiben. Ziel dabei ist, dass Leser dieser Beiträge aufgefordert werden, angebliche Browser-Plug-in-Updates (z.B. von Flash) zu installieren und dazu auf täuschend echt aussehende Herstellerseiten weitergeleitet werden. Dabei wird dann kein Update, sondern ein Trojaner installiert.
Ein auffälliger Benutzername, der solche Beiträge in letzter Zeit schreibt, ist AnaJu.

Erfolgreich ist dieser Angriff nur, wenn Benutzern erlaubt ist, HTML-Code im Forum zu speichern.
vBulletin ist standardmäßig so konfiguriert, dass von Benutzern eingegebener HTML-Code nicht ausgeführt wird und diese Art von Angriff auf Ihre Benutzer somit wirkungslos ist.

Wenn Sie nicht sicher sind, ob HTML-Code erlaubt ist oder nicht, sollten Sie die folgenden Einstellungen überprüfen:

vBulletin-Einstellungen -> Benutzer: Notizen

vBulletin-Einstellungen -> Texte: BB-Code

vBulletin-Einstellungen -> Benutzer: Private Nachrichten

vBulletin-Einstellungen -> Projektverwaltung (falls vorhanden)

Foren & Moderatoren -> Foren verwalten -> Alle Foren überprüfen

Kalender -> Kalender verwalten -> Alle Kalender überprüfen

Benutzergruppen -> Benutzergruppen verwalten -> Signaturen und Blog (falls vorhanden)



Ihr vBulletin-Germany Team

Hier im Forum sind html-Codes übrigens noch aktiv....