http://x9y.ru:8080/ts/in.cgi?pepsi120

Hmm. Gerade finde ich in einer index.php ein IFRAME mit der Adresse „http://x9y.ru:8080/ts/in.cgi?pepsi120“ steht. Wie kommt das da rein?

Bin jetzt erstmal auf der Suche:

find / -name index.php -exec grep -RH "http://x9y.ru:8080/ts/in.cgi?pepsi120" {} \;

10 Antworten auf „http://x9y.ru:8080/ts/in.cgi?pepsi120“

  1. keine Sorge 😉

    Es scheint so, als wären ganz normale FTP-Connects aus einem Botnetz (versch. IPs) mit korrekten Zugangsdaten an das (eine) Hosting gelangt.

  2. Wir hatten ähnliches Problem, ich vermute es liegt an der Sicherheitslücke bei PHPMyAdmin (manuelle Installation, nicht über PLESK)…bei mir waren bei 2 Hostings auch fast alle Files nach dem Body-Tag mit dem exakt gleichen Iframe gebrandmarkt. Hat jemand rausgefunden, was genau dahinter steckt resp. was genau das Iframe macht?

  3. Hi, konntest Du denn im FTP-Log nichts finden? Bei mir ist es definitiv per FTP gekommen. Wie kommst du denn auf den phpMyAdmin?

  4. weil ca 300 hostingaccounts und nur gerade die 2 betroffen waren, wo phpmyadmin lokal installiert war…hast du den auch phpmyadmin drauf?

  5. achja und auf beiden war auch noch ne joomla seite drauf…evtl. hats auch damit zu tun…resp. kommt die lücke von daher…glaube aber vom neuen phpmyadmin-sicherheitsleck…

  6. Nee, phpMyAdmin war nicht drauf – Joomla auch nicht. Bei mir war es per FTP mit successful logins. Kannst Du nicht auch mal im FTP-Log nachschauen?

  7. habe noch was rausgefunden…das skript sucht nach üblichen begriffen wie template, cms etc. und verändert nur jeweils die files die in nach solchen begriffen benannten ordnern stecken…sehr speziell…

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.