Fehlerhafte Weiterleitung zur Vereinshomepage

**MHaberer** · 13.04.12, 23:57

Hallo zusammen,

Ich bin einer der Webmaster unserer Vereinshomepage
Willkommen beim TV Riegel . Das Problem mit der Seite ist, dass
seit neuestem, wenn man bei Google danach sucht, falsch
weitergeleitet wird (nämlich zu einer russischen Webseite).

Ich habe schon einiges im Internet über ähnliche Probleme
gefunden, die wohl von einem Trojaner auf dem eigenen
Rechner kommen. Unser Problem scheint sich aber dahingehend
davon zu unterscheiden, dass nicht jeder Eintrag in Google
falsch weitergeleitet wird, sondern nur Einträge, die auf
unsere Seite führen (sollten). Heisst das vielleicht, dass
sich da was auf unserem Server eingenistet hat???

EDIT: Es scheint nicht nur bei Google so zu sein, wenn ich
auf den Link hier im Thread klicke werde ich auch falsch weiter-
geleitet. Nach wie vor ist es aber kein Problem die Seite zu
erreichen, wenn ich die Adresse manuell eingebe.

Gruß und Danke im Vorraus,
MHaberer

P.S. Hijack This spuckt folgendes aus:

verborgener Text:

**Supernature** · 14.04.12, 09:22

Edit: Alles uninteressant, was ich unten geschrieben habe - es ist definitiv der Webserver kompromittiert.
Habe über Google nach Eurer Seite gesucht und wurde prompt auf eine andere Seite umgeleitet (nicht die, die Du gepostet hattest) und es wurde versucht, mir eine Datei unterzuschieben.

Schaut Euch mal genau das Änderungsdatum der PHP-Scripte an und prüft sie inhaltlich auf Code, der da nicht hin gehört.

Ich habe die russische URL mal besser entfernt - wer weiß, was da dahinter steckt.
Also das HijackThis-Log sieht soweit gut aus - die Einträge "file missing" und der Hinweis "Der angebliche Systemprozess läuft nicht im System32 Ordner und ist deshalb als schädlich einzustufen" kommen daher, dass Du ein 64Bit-System hast und die Auswertung dafür leider noch nicht angepasst ist.

Bei mir passiert diese Umleitung nicht, und es werden vermutlich noch weitere Meldungen von anderen Forumsteilnehmern kommen.
Ich gehe im Moment mal davon aus, dass es wirklich ein Problem auf Deinem Rechner ist.
Es könnte sich ein AddOn in Deinen Browser eingenistet haben - hast Du es mit unterschiedlichen Browsern versucht?
Da die Umleitung nicht immer passiert, wird es wohl eher keine DNS-Manipulation sein.

**MHaberer** · 14.04.12, 09:28

Hallo und danke für deine Hilfe!

Ich werde mir die betreffenden Daten mal anschauen.

**Supernature** · 14.04.12, 11:56

Ich hatte so ein Problem auch mal, das war glücklicherweise leicht zu erkennen - da war ein ziemlich großer Code-Block am Ende der Datei eingefügt worden. Im Ergebnis wurden etwa die Hälfte aller Google-Besucher umgeleitet. Ziemlich clever gemacht, so lange man sich selbst auf der Seite bewegt, merkt man nichts, und wundert sich nur über die gesunkenen Besucherzahlen.

Wenn Du die Google Webmastertools benutzt, kannst Du außerdem dort nachschauen, ob der Crawler Malware auf dem Server gefunden hat.

**MHaberer** · 14.04.12, 17:02

Am Ende welcher Datei war das bei dir?

**Supernature** · 14.04.12, 17:46

Kann ich Dir gar nicht mehr genau sagen - spielt aber eigentlich auch keine Rolle, weil das bestimmt nicht vergleichbar ist.
Bei uns handelte es sich damals um eine Sicherheitslücke in der Forensoftware bzw. vbseo - wenn ich mich recht entsinne, wurde eine vbseo-Datei modifiziert.
Du wirst alle durchschauen müssen - wenn die index.php wiederum andere php-Scripte per include ansteuert, dann kann sich der Exploit auch darin verstecken - es kann aber auch der Webserver selbst befallen sein, dann findest Du in den Scripten nichts.

**MHaberer** · 17.04.12, 17:42

Okay es scheint nun so, dass die Seite endlich frei von Malware ist. Nach dem ich
meine Cookies gelöscht habe funktioniert die URL [ http://tvriegel.com ] wieder wie
sie soll, aber [ http://www.tvriegel.com ] wird bei mir komischerweise zur Google
Startseite umgeleitet, aber nur bei Mozilla Firefox, beim Internet Explorer funktioniert
diese URL auch. Die Einträge bei der Google Websuche landen generell immer bei
beiden Browsern wieder auf der Google Startseite.

Hat da jemand ne Idee?

**HeikeFy** · 17.04.12, 18:50

Zitat von MHaberer

Okay es scheint nun so, dass die Seite endlich frei von Malware ist.

Scheint mir nicht so. Wenn ich über Google suche und dann euren Link anklicke werde ich immer noch auf die russische Seite umgeleitet.

**MHaberer** · 17.04.12, 19:29

Hmm komisch, warum passiert mir das dann nicht?

Welchen Browser hast du denn verwendet?

Und was passiert, wenn du die beiden Links in meinem vorherigen Post verwendest?

**HeikeFy** · 17.04.12, 20:51

Ich verwende den Firefox 11.0.
Die von dir geposteten Links ohne www führen direkt zu deiner Seite. die mit www allerdings jetzt zu Google.de, ich glaube vorhin war das nicht so.
Edit: nach dem Löschen der Cookies ändert sich das Verhalten, ich werde wieder auf deine Seite geleitet.

Die Links die ich über die Googlesuche finde, führten vorhin noch auf die russische Seite, jetzt allerdings auch zu Google.de.

**MHaberer** · 17.04.12, 21:26

Dann gehts dir ja jetzt genau wie mir -
Danke für die Mühe

**HeikeFy** · 17.04.12, 21:35

Ich habe jetzt nochmal ein bisschen "gespielt". Diese komische Weiterleitung passiert nur, wenn ich von Google auf deine Seite komme. Dann aber bleibend. Es scheint so, als würde in diesem Fall ein Cookie gesetzt werden, der das steuert.
Erst wenn ich den Browser schließe oder wirklich alle Cookies und dann die Seite direkt aufrufe hört das auf.

Edit: Falsch, alle Cookies löschen hilft nicht, erst das Schließen des Browsers beendet den Spuk.

**Supernature** · 17.04.12, 21:42

Da ist definitiv immer noch der Wurm drin.
Hast Du denn in den Scripten irgendwas gefunden und beseitigt?

**knubl** · 18.04.12, 11:03

Die Seite ist immer noch nicht sauber.
Da ist immer noch der Redirect auf diese russische Domain (sas-air usw.) mit drin.
Schau mal hier weiter:
http://sitecheck.sucuri.net/scanner/?scan=tvriegel.com
urlQuery: http://tvriegel.com
Web page security report

Evtl. den Hoster kontaktieren und auch wegen einem _aktuellen_ Joomla und PHP nachfragen?

**MHaberer** · 18.04.12, 14:47

Hallo und Danke für eure Rückmeldungen!

Ich schau mir mal die betreffenden Seiten an.

Zu der Frage, ob ich schon was gefunden habe:
Im Ordner "Images" war eine Datei 10.php, die
AntiVir mir gleich beim Runterziehen als Malware
angezeigt hat, ich habe diese gelöscht und ein
Backup der Seite von vor der Infektion hochgeladen,
was das Problem aber anscheinend nicht bzw. nicht
ganz gelöst hat.

LinkBack

Themen-Optionen

Thema durchsuchen

Anzeige