Vistassa MSE hälyttelee haittaohjelmasta Trojan:JS/BlacoleRef.W, kun menen firefoxilla osoitteeseen http://www.lundberg.fi
Haitta olisi tiedostossa http://www.lundberg.fi/misc/jquery.js
Virustotalissa vain Microsoft hälyttää haittaohjelmasta.
Haitta olisi tiedostossa http://www.lundberg.fi/misc/jquery.js
Virustotalissa vain Microsoft hälyttää haittaohjelmasta.
Vastaukset 34
Vanhimmat
Itse testasin juuri ja MSE ei hälyttänyt kertaakaan kun kävin noilla sivuilla. Olisikohan virustunnisteet päivittyneet uusiin, jolloin ongelma poistui?
Ilmoitus on ihan oikea. Sivusto on korkattu ja se sisältää blackhole exploitkitin jonka MSE:n verkonvalvonta tunnistaa ja torjuu.
http://aijaa.com/gpaiCx
Asiasta ei tarvitse välittää tämän enempää kuin ehkä välittää tieto sivuston ylläpitäjälle että sivusto on korkattu.
Virustotalin 0 tulos ei ole luotettava koska explotkitti osaa katsoa mistä latauspyyntö tulee ja virustotaliin näytetään tyhjää sivua.
"Virustotalin 0 tulos ei ole luotettava koska explotkitti osaa katsoa mistä latauspyyntö tulee ja virustotaliin näytetään tyhjää sivua."
"Virustotalissa vain Microsoft hälyttää haittaohjelmasta."
Hmmm... jos Virustotalissa tarkistan URL niin eihän siinä ole ollenkaan MSE, vaan jos tarkistan tiedoston niin silloin MSE tarkistin on. Sekä "Virustotalissa vain Microsoft hälyttää haittaohjelmasta." Joten Virustotal saa oikean tiedoston kun kerran yksi ohjelma silloin hälytti..
Latasin tiedoston koneelleni ja laitoin Virustotaliin niin tulos
AVG: HTML/Framer
Ikarus: Trojan.JS.BlacoleRef
Microsoft: Trojan:JS/BlacoleRef.W
TrendMicro-HouseCall: TROJ_GEN.F47V1108
Neljäkymmenen tarkistimen mukaan ei mitään ihmeellistä. a6f227... alkaen on ylimääräistä eikä kuulu jQueryyn. Muutenkin toi jQuery on aika vanha 1.2.6 nykyään 1.8.2
MSE oli ensimmäinen joka tunnisti?
En jaksanut itse uploadata jquery.js:ää virustotaaliin, laitoin vain urlin sinne ja siitä ei löytänyt mitään.
No nyt tiedetään ainakin varmasti että ei ollut väärä positiivinen kun
"AVG: HTML/Framer
Ikarus: Trojan.JS.BlacoleRef
Microsoft: Trojan:JS/BlacoleRef.W
TrendMicro-HouseCall: TROJ_GEN.F47V1108"
"MSE oli ensimmäinen joka tunnisti?"
Ilmeisesti, kun aloittajan mukaan vain se huomasi ja nyt neljä.
Muutenkin Lundberg.fistä ei kannata nyt mitään tilailla, ennenkuin ovat selvittäneet minkä aukon kautta tiedostoihin pääsi käsiksi ja korjanneet sen sekä tarkistaneet ettei mitään muuta outoa ole. Pelkkä explotkitin poisto jquery.js ei ole ratkaisu, vaikka monet niin tekevät.
"Muutenkin Lundberg.fistä ei kannata nyt mitään tilailla, ennenkuin ovat selvittäneet minkä aukon kautta tiedostoihin pääsi käsiksi ja korjanneet sen sekä tarkistaneet ettei mitään muuta outoa ole. Pelkkä explotkitin poisto jquery.js ei ole ratkaisu, vaikka monet niin tekevät. "
Totta! Nyt sinne annettavat tiedot ovat myös vaarassa joutua rikollisten käsiin.
Juu, otin tuon sivuston jquery.js tiedoston yhdelle tietokoneelleni ja lähetin tiedostona virustotaliin.
https://www.virustotal.com/file/3cdbc1bb9d611bea78f0b63a4b3b56b70cd0f0c844d527f45e6aaf3d4b6eb5cb/analysis/1352418963/
Joo, niinpä näkyy. Tässä on uudempi vain puoli tuntia vanha scannaus samasta tiedostosta.
https://www.virustotal.com/file/3cdbc1bb9d611bea78f0b63a4b3b56b70cd0f0c844d527f45e6aaf3d4b6eb5cb/analysis/
"Totta! Nyt sinne annettavat tiedot ovat myös vaarassa joutua rikollisten käsiin"
Jos vastaa tai komentoi johonkin suoraan alle, ei tarvitse kopioida kommentoitavaa tekstiä omaan kommenttiin, kyllä jokainen tajuaa mitä kommentoidaan.
Nyt näyttäisi AntiVir tunnistavan
https://www.virustotal.com/file/3cdbc1bb9d611bea78f0b63a4b3b56b70cd0f0c844d527f45e6aaf3d4b6eb5cb/analysis/1352488197/ Saas nähdä milloin F-secure tunnistaa
vapunen pärkkele vastaa aina suoraan siihen valmiiseen lootaan, vaikka pitäisi vastaus kohdentaa "vastaa" lootaan. Kun sulla on niin kaameesti tuota aktiviteettia neuvoa kansalaisia, niin neuvo häntäkin.
Nyt MSE ilmoitti että käyttäjän toimia ei tarvita kun avasin tuon sivun IE9 selaimella. Käytin näemmä Google Chromea incogniton tilassa jolloin se ei tallenna koneelle selaustietoja. Eli ihan oikea ilmoitus on kyseessä.
Luulin sen olevan väärä löydös. Näiden tietojen jälkeen ilmoitin asian Lundbergille.
Firefox lisukkeineen, nocript, adblock jne, ei omassa koneessa reagoinut tuohon sivustoon, mutta ie9 kyllä ja NIS 2013 pomppasi ruudulle.
,java otettu pois
Kyllä. Blackhole exploitkitt tarvitsee javascriptiä joten FF:n lisäosa Noscript esti sen.
En kyllä itse jaksa plokkailla javascriptejä sivukohtaisesti kun lähes jokainen nettisivu niitä käyttää ja javascriptit eivät ole vaarallisia kunhan selain ja selaimen lisäosat ovat ajantasalla.
Javan poistaminen on ilman muuta hyvä asia ja suosittelen Javan poistamista kaikille jotka eivät tarvitse Javaa mihinkään, mutta javascript ja Java ovat täysin eri asioita.
FF ja Noscript plokkaa automaattisesti javascriptit, sun tarvii vain korkeintaan hyväksyä niitä pysyvästi tai väliaikaisesti. Erinomainen palikka, estää myös Javan ja Flashin toiminnan ym. ja mainoksia, myös nopeuttaa selailua.
Itselläni FireFox on kakkos selaimena NoScript asetukset on että ulkopuolisten JavaScript estetään, mutta sivuston itsensä ei. Näin lähes kaikki JavaScriptiä sisältävät sivustot toimivat, eikä tartte turhaan sallia jatkuvasti kun eksyy uudelle sivustolle. Sekä että Java, Flash... käynistyy klikkauksesta. Pääselaimessa Chromessa vain että laajennokset käynistyy klikkaamalla.
No tähänhän riittä, kun ottaa javascriptin pois käytöstä selaimen asetuksista ja ottaa sen käyttöön vain sitä tarvittaessa - kuten nyt kirjoittaessani tätä viestiä. Muutamalla klikkauksella tämä onnistuu - ainakin IE:ssä, FF:stä en niinkään tiedä.
Onnistuu Firefoxissa klikata helposti. Kannattaa mieluummin asentaa Noscript, nytkin näyttää että scriptit osittain sallittu 2/10 ja toimii tää kirjoittelukin.
http://www.lundberg.fi/ on putsattu joten nyt voi mennä turvallisesti pöyräkaupoille.
Putsattu vai "putsattu"?
Nyt samaisessa jquery.js on kohta jonka hakee JavaScript tiedostoa http://getyourbet(poista_tämä).org osoitteesta. Joten en suosittele vielä ostamista. Mistä sait tiedon Facebookissa tai sivuilla kun ei asiasta mainita mitään?
Joo, sama ongelma. katselin sivuja ja huomasin hyökkäyksen nortonissani.
Sitten googlasin sivut ja löysin tämän threadin.
Minä asentasin Ubuntun niin pääsee pyöräileen?
Eipä ainakaan minulla nyt hälyttele?
Ei siellä enää mitään haittaohjelmia ole. MSE ei myöskään hälyttele mitään.
Eikä Kaspersky, virustorjuntaohjelmien kingi.
Eikä myöskään Avast! Taisi olla vain aiheeton hälytys?
Ei se aiheeton hälytys ollut mutta nyt noi sivut on korjattu ja niissä ei enää ole haittaohjelmaa.
http://www.lundberg.fi/misc/jquery.js tuo sama skripti ei sano edelleen mitään joka oli muka paha.
Väärä häly?! Missä muka se troijalinen on..? Ei minulla ainakaan mitään ole koneella. Vituttaa tuommoset aiheettomat hälytykset, ne sotkee elämää.
Ai niin käytän Firefoxia. Vaikuttaako? Siis vaikuttaa.. mut tuohonko pitäs olla joku IE selain jotta tulis troijalainen?
Siis nykyään http://www.lundberg.fi/misc/jquery.js on vain jQuery-kirjasto http://jquery.com/ eikä siellä ole enään lisänä haittaohjelma koodia. Koodi näyttää sekavalta koska se on pakattu pienempään kokoon, nopeampi ladata. Pakkaamattoman version saa jQueryn sivuilta jos kiinostaa.
Sivustolla OLI Blackhole exploitkitti, ei OLE enää.
Selaimella ei ole merkitystä, Blackhole toimii kaikilla selaimilla ja pystyy korkkaamaan vanhentuneet selaimet, myös Firefoxin, vanhentuneet Adobe readerit, Flashit ja Java versiot.