Umleitung auf gefakte Java-Updateseite? (um Virus zu installieren?)

[predalien]

Mit was für einem Gerät und Browser gehst du denn auf die OTR Webseite?

[Dandelion]

In diesem Fall mit Windows XP (32) SP3 und Firefox 24 (siehe Nachtrag in meinem Beitrag)

[hvollo]

Kann mich nur anschließen
XP (32) SP3 FF Ver 25 Final

[Ginny]

Gleiches Problem auch bei mir! (Windows 7/Firefox 25)

Die OTR-Seite ist zur Zeit nur benutzbar, wenn man das Laden der Seite stoppt, bevor die Umleitung erfolgt!

Hoffentlich gibt es da bald eine Lösung.

Schöne Grüße,
Ginny

[regfil]

dito (Windows 7/Firefox 25)

[Administrator]

Hab das gleiche Problem, aber nicht bei OTR, sondern bei einer anderen Webseite. Sind gewisse Werber, die da aufs Kreuz gelegt wurden.
Jetzt müssen wir nur noch schnell das richtige Banner finden :-(

[Weser Teufel]

Hallöchen, wo deaktiviere ich das Javascript?

[appeins]

Hallöchen, wo deaktiviere ich das Javascript?

Seit ich Adblock-Plus für die 0TR-Seite wieder aktiviert habe, habe ich Ruhe vor dem gefakten Java-Update.

[Polygnotus]

Bei mir auch diese beiden Seiten, Opera 17 / Windows 7 64bit

Java ist übrigens ungleich JavaScript, es gibt ein Java-Plugin, welches extra installiert werden muss, während JavaScript in jedem aktuellen Browser enthalten ist.

Bei diesem Fake ist es allerdings egal, ob überhaupt ein Java-Plugin installiert ist, die Seite mit der Aufforderung kommt unabhängig davon.

[Mori]

Ich sollte euch mal informieren das sich wenn ich auf eurer Website bin
immer auf eine andere Website binnem kurzem geleitet werde die behauptet ich bräuchte ein java update.
Hier ein Pic...bei Bedarf geb ich gerne auch noch die Adresse.

7325

Das Problem habe ich auch....ich dachte bis eben ich hätte mir aufm PC was eingefangen.

Wäre mal ne Idee darüber ne info auf die Site ganz vorne zu packen :(


AUßERDEM WÄRE NE INFO FÜR DIE DIE DIESE EXE STARTEN HILFREICH!
Haftet eigentlich OTR dafür? :o


p.s. Firefox 23

[MCMUPPET]

Haftet eigentlich OTR dafür?Ohne zu wissen wofür... ein Schuss ins Blaue: für Drittanbieter bestimmt nicht.

[Mori]

Dafür daß OTR offenbar auf eine Seite mit Virus / Trojaner weiterleitet?

Wichtiger wäre aber eine Info über diese .exe die es bei diesem fake java update gibt!

[appeins]

Ich hoffe, OTR trennt sich vom Anbieter solch unqualifizierter Werbung!




Das ist in der Tat dringendst erwünscht / erforderlich ! Nicht daß 0TR wg. derartiger Verseuchungsmöglichkeiten noch in ein schlechtes Licht gerät. Das kann doch wahrlich niemand ernsthaft wollen.

[Guest296]

Flagfox zeigt an,das die Seiten aus den USA kommen.Zudem fällt die mangelhafte deutsche Sprache auf.Alles weitere wurde hier schon geschrieben.

[0856]

Bei mir ist die Seite inzwischen unbenutzbar. Die Umleitung auf die Fakeseiten erfolgt auch von der Startseite. Man kann nicht einmal Banner klicken. Vorher erfolgt immer die Umleitung!

Die Domänen wurden erst am 30.10. registriert. Da WhoisGuard verwendet wurde, ist der echte Registrant nicht erkennbar. Offenbar geht es um Malware. OTR sollte schnellsten ihren Webserver überprüfen. Vielleicht ist, wie letztens im Forum, jemand eingedrungen und hat die Site manipuliert um seinen Dreck an den Mann zu bringen. Ich habe nichts heruntergeladen, vermute aber, dass es sich um einen Trojaner handeln will.Aber wenn ein Mod so ein Thema nach Outtake verschiebt hat OTR offenbar kein Interesse an der Beseitigung der Umleitung. Schade!

7328

7329

Da OTR 15 verschiedene Anbieter von JavaScript auf seinen Seiten eingebunden hat, kann der Angreifer natürlich auch einen dieser Anbieter gehackt haben und OTR bindet damit das manipulierte JavaScript ein.

[MCMUPPET]

In Anlehnung an den (für mich persönlich nach wie vor nicht nachvollziehbaren) Browserzwang beim Bannerklicken würde mich mittlerweile ein solches Statement seitens der Betreiber gar nicht mal weiter verwundern.Bitte beim Ausgangsthema bleiben. Danke!

MfG
MCMUPPET

[MCMUPPET]

Toll, nun wurde der Thread nach Off Topic verschoben.Bitte demnächst bei Moderationsfragen einen Moderator per PN anschreiben. Das ist im Thread Offtopic und schadet dementsprechend der Übersicht.

Die Verschiebung kann ich mir derzeit nicht erklären... also Push zurück.

MfG
MCMUPPET

[hvollo]

@ Mori
Ich weiß nicht, wie alt die Info in dem Link ist. Du musst über about:config gehen und nach Javascript suchen. Wenn Du das aber disablest kannst Du auch keine Banner mehr klicken.

[freelancer]

Nachdem die Weiterleitung auch bei mir aufgetaucht war, habe ich in Chrome Adblocker und Noscript wieder aktiviert. Bei beiden eine Ausnahme für onlinetvrecorder.com definiert. Seither keine Probleme mehr. Ich kann normal Banner klicken, bekomme keine Adblocker- oder Noscripthinweise seitens OTR und die Weiterleitung auf die ominöse Fakeseite ist auch nicht mehr aufgetreten

[otr__nutzer]

bei mir ist es auch so(win7/firefox 24.0)

[Smily0815]

Bei mir auch, man hab ich mich gerade erschrocken! Natürlich nirgends drauf geklickt.

Windows 7, alle Updates
Firefox 25

So lange das nicht behoben ist, ist der OTR für mich nicht nutzbar, sorry, das geht gar nicht! Das Problem ist seit mehr als 24 Stunden gemeldet!

[Cheerio]

Ebenso. Google Chrome. Hab sowas auf noch keiner anderen Seite gesehen. Hoffe dass das bald abgestellt werden kann!

[carefree]

Also ich verwende das Add-on Block site 1.1.8 und habe nun damit meine Ruhe.

[Administrator]

Sehr sehr ärgerlich und schwer zu finden dieses Banner. Der Angreifer kennt unsere IPs und wenn wir die Seiten besuchen, sieht alles TOP aus. Daher brauchen wir Eure Hilfe. Wir müssen rauskriegen, welches Banner spinnt, das wird entfernt und der Spul ist beendet. Sind derzeit einige Seiten im Netz betroffen, ich seh als User es oft.

Natürlich niemals sowas anklicken. Java ansich ist ja schon unsicher, aber solche Seiten allemal. Sorry für den Ärger.

Gruß Werner

[regfil]

ist es denn sicher daß ein Banner ist ?
kann es nicht auch eine der Werbungen sein-die links und rechts auf der Seite plaziert sind ?


Sind derzeit einige Seiten im Netz betroffen, ich seh als User es oft.


na dann würde es doch einfacher festzumachen sein- was ist denn auf einer Fremden Seite und OTR an Werbung gemeinsames geschalten ?

auf anderen Seiten kam es mir noch nicht unter
ich hatte es nun 2x -einmal gestern als ich im Chat las davon-da poppte es auf und heute auch wieder

ich hab nun Adblock an-bisher kam es nicht wieder

[Hari_Seldon]

Leider wird in dem Moment, wo das Banner angezeigt wird, auch schon die Seite weitergeleitet. Sonst hätte ich das blöde Banner schon längst isoliert.

Vielleicht gelingt es mir ja jetzt (siehe oben). Ich melde mich.

Allerdings hatte ich den Fehler ja schon gestern gegen 22:30 - und nach 1 Uhr war alles OK. Hatte schon gedacht, ihr hättet den Halloween-Spuk gekillt. Leider hatte ich mich da getäuscht.

[freelancer]

ist es denn sicher daß ein Banner ist ?
kann es nicht auch eine der Werbungen sein-die links und rechts auf der Seite plaziert sind ? ...

Der Verdacht ist gerechtfertigt, denn ich habe wie schon geschrieben in Adblocker und Noscript jeweils explizit onlinetvrecorder.com als freigegebene Ausnahmen definiert, sehe die Banner und kann sie ohne PProbleme klicken.

Was ich seither nicht mehr sehe sind die Werbeeinblendungen, welche am rechten Bildschirmrand eingeblendet wurden. Und seither habe ich wie von regfill beschrieben auch keine Weiterleitung auf die Malwareseite gehabt.

[1_Stein]

hallo liebe otrler
hier sind ein paar daten über die gefakte java werbung vielleicht hilft das weiter
das wir die endlich loswerden

canonical name freejave-web.com.
aliases
addresses 199.231.70.3
DNS records

DNS query for 3.70.231.199.in-addr.arpa returned an error from the server: ServerFailure
name class type data time to live
freejave-web.com IN A 199.231.70.3 1800s (00:30:00)
freejave-web.com IN SOA
server: dns1.registrar-servers.com
email: hostmaster@registrar-servers.com
serial: 2013103000
refresh: 3600
retry: 1801
expire: 604800
minimum ttl: 3601
3601s (01:00:01)
freejave-web.com IN NS dns4.registrar-servers.com 1800s (00:30:00)
freejave-web.com IN NS dns3.registrar-servers.com 1800s (00:30:00)
freejave-web.com IN NS dns1.registrar-servers.com 1800s (00:30:00)
freejave-web.com IN NS dns5.registrar-servers.com 1800s (00:30:00)
freejave-web.com IN NS dns2.registrar-servers.com 1800s (00:30:00)

lg
1_Stein

[hvollo]

@ Administrator

Es kann kein Banner sein. Ich habe alle 1o schon geklickt und der Mist kommt immer noch. Das ist die Bandenwerbung. Jetzt sogar auf der Dowloadseite.

[Ginny]

Hallo und guten Abend,

bei mir erschien die Weiterleitung seit gestern morgen absolut regelmäßig und reproduzierbar - wenn ich nicht rechtzeitig das Laden der OTR-Seite gestoppt habe. Nun habe ich Adblock Plus für OTR wieder aktiviert, da ich meine zehn Klicks zusammen habe. Ich bin gern bereit bei der Suche zu helfen, wenn mir jemand sagt was ich tun kann.

Schöne Grüße,
Ginny

[Mori]

Sehr sehr ärgerlich und schwer zu finden dieses Banner. Der Angreifer kennt unsere IPs und wenn wir die Seiten besuchen, sieht alles TOP aus. Daher brauchen wir Eure Hilfe. Wir müssen rauskriegen, welches Banner spinnt, das wird entfernt und der Spul ist beendet. Sind derzeit einige Seiten im Netz betroffen, ich seh als User es oft.

Natürlich niemals sowas anklicken. Java ansich ist ja schon unsicher, aber solche Seiten allemal. Sorry für den Ärger.

Gruß Werner
http://ad.yieldmanager.com/iframe3?5sWKADqAEwBl32UBAAAAAEKCaQAAAAAAAgAAAAEAAA AAAP8AAAAGGEOkNwAAAAAAKruAAAAAAAApnIIAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHJQ wAAAAAAAIAAwAAgD8ASOF6FK5H0T9I4XoUrkfRPwrXo3A9Ctc. CtejcD0K1z8zMzMzMzPjPzMzMzMzM-M.AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAADzW3aN sgy9DseTUBvvFyWkU64x8JLR6Roc2p9MAAAAAA==,http%3A%2 F%2Fadserver.adtech.de%2Fadlink%7C1104%7C4766298%7 C0%7C168%7CAdId%3D7118745%3BBnId%3D5%3Bitime%3D344 177463%3Blink%3Dhttp%3A%2F%2Fwww.usemax.de%2Fview_ n.php%3Fuc%3Dclear,http%3A%2F%2Fwww.usemax.de%2Fvi ew_n.php%3Fwf%3D1%26userid%3D6434%26w%3D6434%26vis ible%3D0%26imp%3D3254243%26fb_s%3D1355,B%3D10%26H% 3D%26M%3D5%26Z%3D120x600%26_salt%3D3571144740%26cm %3D131%26r%3D0%26s%3D1278010%26sp%3D%26userid%3D64 34%26w%3D6434%26wm%3D1,3b118eb4-4343-11e3-96e3-2b40b2c4d1bd,1383344178412

Gab mir mein Firefox als verweisende URL bei der Seiteninfo...vieleicht hilfts ja irgendwie.
Ansonsten beruhigt es nicht unbedingt wenn ein Admin seine User um Hilfe bittet.

***

[0856]

Soweit ich das analysieren konnte, nimmt das Übel bei Yahoo seinen Anfang.


Über den Referer ad.yieldmanager.com/iframe3 (dahinter folgen noch 796 Zeichen) wird http://prentu-de.com/pics/120x600.gif abgerufen.
Über den gleichen Referer wird dann http://prentu-de.com/api/?dv1=Ybrant%20Digital&affid=1001107&ls=26632 aufgerufen.
Darauf antwortet der Webserver von prentu-de.com mit einem Redirect zu http://rposy.com/go.php?dv1=Ybrant Digital
Dieser Webserver antwortet dann mit top.location.href='http://germangetjava.com/index.php?dv1=Ybrant Digital';


Damit sind wir bei der Fake-Java-Seite.

Nun müsste Administrator herausfinden, was es mit prentu-de.com auf sich hat. Diese Domain wurde auch bei WhoisGuard registriert. Aber es gibt prentu.de, ein Online-Fotoservice, der in den Niederlanden registriert ist. Und dem gehört offenbar das Banner (siehe 1.).

[carefree]

Irgendwie geht jetzt überhaupt nichts mehr, weder der Banner klick funktioniert noch wird das Forum richtig aufgebaut.

[carefree]

Tja wie könnte ich es beschreiben, dass Forum sieht im moment wie eine reine Testseite aus.

Die Werbungs Layer habe ich jetzt ausgeschaltet.

Banner erhalte ich derzeit keine, der Bereich ist einfach leer.

Problem besteht anscheinend nur mit dem Firefox im Internet Explorer geht es auch nicht ich kann keine Banner klicken, einfach komisch.
Aber Danke.

[hvollo]

Bei mir ist das Forum vollkommen Normal.
Die Java-Weiterleitung habe ich seit gestern Abend nicht mehr gehabt.

@ carefree:
Momentan wird nur ein Tape-TV Banner angezeigt und sonst nichts.

[MCMUPPET]

In diesem Thread ging es um eine gefakte Java-Updateseite.Diese ist wieder weg.Korrekt. Aus diesem Grunde: für alles andere: neuer Thread und hier ~closed~.

MfG
MCMUPPET