Onderwerp: adf.ly | adfly script

Het is me niet geheel duidelijk of het in dit forum thuishoort. maar anders hoor ik het graag waar ik deze vraag kan stellen.

het gaat om een site die blijkbaar besmet is met een script van adf.ly (zie google voor meer informatie over deze short url); ook via google heb ik verschillende methoden gevonden om dit tegen te gaan. Echter dit zijn meestal addons op je browser; wat ik eigenlijk zoek is om dit op server/website nivo te stoppen. volgens verschillende scanners is de server clean maar toch worden de scripts willekeurig in de html meegestuurd waardoor er ook willekeurig tijdens het bezoeken van de site wordt doorverwezen naar deze advertenties.

ik heb eigenlijk een paar vragen: zijn er meer mensen die hier last van hebben? Is het echt op site nivo of toch lokaal nivo (ook lokaal zijn verschillende scanners bezig geweest maar zonder iets te vinden)? en misschien de belangrijkste: hoe komen we er vanaf? de site is geen open-source (ik heb wel een oplossing gevonden voor joomla) maar old school asp.

Ik ben benieuwd en alvast dank voor jullie tijd en moeite.
Walther

Het is heel goed mogelijk dat er ergens in de code van je web site een iframe is opgenomen zonder dat je hier weet van hebt. Een virus scanner zal dit niet altijd kunnen detecteren.
Belangrijker lijkt me eerlijk gezegd hoe iemand deze iframe heeft kunnen toevoegen. Is dat via een backdoor in je web site of misschien zelfs wel via de inloggegevens van je web site (verkregen via een met spyware of een virus geïnfecteerde computer)? Op het moment dat je web site veilig lijkt kan deze nl. weer misbruikt worden om het iframe weer toe te voegen.

Vaak gebeurt dit op wordpress/joomla sites met niet veilige addons of outdated addons.
ik heb al variante gezien die zich in een normale .js van wordpress/joomla verstoppen die erg slim te werk gaan.
Ze checken bv op de meest voorkomende online site checkers en plaatsten pas een iframe op willekeur zodat het ook niet altijd besmet is.

maar zoals dreamhost_nl ook al zei is het erg belangrijk de oorzaak/backdoor te vinden. zonder dat blijft het probleem zich altijd herhalen. en je moet kijken of ze niet ergens stiekum een nieuwe backdoor hebben geplaats waarmee zo opnieuw toegang kunnen krijgen ook al heb je het originele lek gedicht.

Het is een script met verwijzing die in de html wordt meegestuurd naar de client/browser. Als het voorkomt en ik bekijk de broncode dan zie ik de toevoeging ook in de code staan; op willekeurige posities kan het voorkomen. Maar het is een javascript "injectie". Ik heb het bij 2 verschillende sites: 1 op een shared server (de andere sites hebben er geen last van); en 1 op een dedicated server (VPS). Ik heb - mede door wat oudere posts op het web - tijdelijk de Google Analytics script uitgezet en wonderbaarlijk genoeg hebben de sites er nu geen last meer van; even een paar dagen zo laten draaien en dan GA weer "aanzetten"; eens kijken wat er dan gebeurt. Wel vreemd maar wie weet...

Voor zover ik heb kunnen nagaan is er geen malware, backdoor of iets anders actief op een van de servers.

vmusch, ik raadt je toch het volgende aan: https://sourceforge.net/projects/smscanner/ ( Simple Server Malware Scanner )