Trojaner auf meiner Homepage?

#1 Hallo,
habe gestern eine Nachricht bekommen, dass sich auf meiner Homepage der Trojaner jessica.scr befinden soll.

Wenn ich auf den Link klicke, könnte ich ihn herunterladen.
Jedoch finde ich ihn auf meinem Webspace nicht, um ihn zu löschen.

Ist das ein Fake, oder was soll ich tun?

Hier die Nachricht:

CERT-Bund ist das Computer Emergency Response Team der Bundesverwaltung. Wir kooperieren mit verschiedenen anderen nationalen und internationalen CERTs und Sicherheitsteams, um IT-Sicherheitsvorfälle aufzuklären bzw. zu beseitigen.

Laut DeNIC-Eintrag sind Sie der verantwortliche Ansprechpartner für die Domain "backslash-events.de".
Wir haben Hinweise erhalten, dass Ihre Webpräsenz von einem Angreifer kompromittiert wurde.

Unter der URL

<http://www.meineseite.de/.../jessica.scr>

wird ein Trojanisches Pferd zum Ausspähen von Online-Banking-Informationen zum Download bereitgestellt, welches von einem anderen Schadprogramm nachgeladen wird. Ihr Server trägt dadurch aktiv zur Infektion von weiteren Rechnern über das Internet bei.

Wir bringen Ihnen den Sachverhalt hiermit zur Kenntnis und bitten Sie, das Schadprogramm innerhalb von 24 Stunden zu entfernen.

Bitte bestätigen Sie den Eingang dieser Benachrichtigung und informieren Sie uns über die von Ihnen getroffenen Maßnahmen. Verändern Sie bei Ihrer Antwort bitte nicht die Betreffzeile der E-Mail, damit sie automatisch diesem Vorfall in unserem Ticketsystem zugeordnet werden kann.

Falls der Angreifer neben der oben genannten Datei weitere Dateien auf Ihrem System abgelegt hat, würden wir uns freuen, wenn Sie uns diese zur weiteren Analyse zur Verfügung stellen könnten.

Für weitere Fragen stehen wir Ihnen gerne telefonisch oder per E-Mail zur Verfügung.


Mit freundlichen Grüßen,
das Team CERT-Bund

I.A. Thomas Hungenberg

=================================================================
BSI - Bundesamt fuer Sicherheit in der Informationstechnik
Referat 121 -- CERT-Bund
Telefon +49-228-9582-5110 / FAX +49-228-9582-5427
<mailto:certbund@bsi.bund.de> / <http://www.bsi.bund.de> =================================================================

#2

Zitat

Jedoch finde ich ihn auf meinem Webspace nicht, um ihn zu löschen.

Könnte auch eine Art Hoax sein oder jemand könnte auf idese Art versuchen, die Postfächer des bsi.bund.de zu verstopfen
Als erstes sollte man mal die Echtheit des Mails feststellen.
Anrufen, Hr. Hungeburg verlangen... der Rest zeigt sich dann garantiert von allein .
Ansonsten wäre der exakte Link interessant. Was dein Webspace damit zu tun haben soll bleibt mir irgendwie schleierhaft.
__________
Durchsuchen --> Aussuchen --> Untersuchen

#3 Ja,
das komische ist, das der Link (auch wenn ich ihn von Hand so eingebe)

www.backslash-events.de/.../jessica.scr

funktioniert, und die Datei gedownloaded werden kann.

Heisst das vielleicht, die liegt auf de absoluten Root des Webspaces, an dem selbst ich nicht mit dem FTP-Programm zugreifen kann?

#4 Ich glaub das irgendwie nicht.
Möglicherweise ist ja auch Dein Rechner kompromittiert und deshalb läuft das so.
Du müsstest mal jemanden hier per PM den link schicken, dass man das mal von nem sauberen Rechner probieren kann.
Ist die Datei dann downloadbar und verseucht dann haste wirklich nen Problem denke ich.

TS

#5 Ach, http://www.backslash-events.de/.../jessica.scr ist der Link an sich ?
Komisch, dass das Verzeichnis /... lt .Aussage des Webservers nicht existiert.
http://www.backslash-events.de/ ist gewissermaßen dein Root. /... ist bereits ein nachfolgendes Verzeichnis.

Frag doch mal bei Strato an, ob die etwas finden können ?
Kannst Du die jessica mal bei virustotal.com oder mit lokalem Virenscanner prüfen ?

//Edit: Holla- Seite down ?

Zitat

Serverfehler!
Die Anfrage kann nicht beantwortet werden, da im Server ein interner Fehler aufgetreten ist. Der Server ist entweder überlastet oder ein Fehler in einem CGI-Skript ist aufgetreten.
Sofern Sie dies für eine Fehlfunktion des Servers halten, informieren Sie bitte den Webmaster hierüber.

__________
Durchsuchen --> Aussuchen --> Untersuchen

#6 Hallo,
habe den Account bei revido.de

Die haben jetzt meinen Webspace gesperrt, weil ich damit angeblich Viren verbereite.

Die haben mir jetzt auch ne ganz nette Mail geschickt:

Absender: Support
Nachricht:
Sehr geehrter Kunde,

Ihr Webspace mußte gesperrt werden, da Sie über unserer Server Viren verbreiten.
Bitte setzen Sie sich mit uns in Verbindung. Weiterhin geben Sie bitte bis zum 19.12.2006 eine entsprechende Unterlassungserklärung ab, in der Sie sich bei Meidung einer Vertragsstrafe in Höhe von 5001 € verpflichten dieses Verhalten nicht zu wiederholen.
------------------------------------


Aber wenn ich doch gar nicht an diesen Webspace selbst herankomme, wie soll ich den denn dann da reingemacht haben?

Jemand ne Ahnung, was ich jetzt tun soll?

Danke schonmal

#7 du hast doch die Seite (php oder html - javasript??? ) auf deinem Rechner - scanne deinen Rechner, denn zuerst musst du sehen, ob die jessica.scr auch auf deinem rechner vorhanden ist.
dann ueberpruefe, ob du mit irgendwelchen fremdanbietern arbeitest, also werbung, bannertausch usw.
in diesem fall kann der Virus auf diese weise auf deinen Webspace gelangt sein.

als naechstes: suche dir einen neuen Hoster, und erstelle deine seite neu, ohne werbung und nach ueberpruefung der seitenscripts
__________
MfG Sabina

rund um die PC-Sicherheit