Virus auf mi>c<rocontroller.net

[Wombat (Gast)]

Hallo,

mir ist gerade aufgefallen, das wenn ich microcontroller.net (c statt k) 
aufrufe, ich 5, 6 mal weitergeleitet werde und dann mein Antiviren 
programm eine Seite blockiert mit der Meldung dass es sich hier um ein 
Trojaner handelt der versucht hat sich via Drive-By Download 
einzuschleusen.

Also

mikrocontroller.net -> Diese Seite
microcontroller.net -> Virus

Sollte man sowas nicht irgendwo melden? Man kann doch sicherlich den 
Hoster irgendwie rausfinden und sich dann mit dem Hoster in Kontakt 
darüber setzen?

Ich schließ aber ne Wette ab, das is sicherlich ein Russicher, 
Rumänischer, Bulgarischer oder sonst was :|

[Myxo M. (myxom)]

Wombat schrieb:
> Sollte man sowas nicht irgendwo melden? Man kann doch sicherlich den
> Hoster irgendwie rausfinden und sich dann mit dem Hoster in Kontakt
> darüber setzen?

Mach es selbst:
Abuse Contact Email: [e-mail]

da kannst du suchen:
https://www.united-domains.de/

[Wombat (Gast)]

Who is Abfrage:

Domain Name: microcontroller.net
Registry Domain ID: 1096957_DOMAIN_NET-VRSN
Registrar WHOIS Server: whois.moniker.com
Registrar URL: http://www.moniker.com
Updated Date: 2014-03-13T11:15:44.0Z
Creation Date: 1998-04-01T05:00:00.0Z
Registrar Registration Expiration Date: 2015-03-31T04:00:00.0Z
Registrar: Moniker Online Services LLC
Registrar IANA ID: 228
Registrar Abuse Contact Email: [e-mail]
Registrar Abuse Contact Phone: [phone]
Domain Status: clientDeleteProhibited
Domain Status: clientTransferProhibited
Domain Status: clientUpdateProhibited
Registry Registrant ID: WP-4
Registrant Name: Moniker Privacy Services
Registrant Organization: Moniker Privacy Services
Registrant Street: 2320 NE 9th St, Second Floor
Registrant City: Fort Lauderdale
Registrant State/Province: FL
Registrant Postal Code: 33304
Registrant Country: US
Registrant Phone: [phone]
Registrant Phone Ext: 
Registrant Fax: [phone]
Registrant Fax Ext: 
Registrant Email: [e-mail]
Registry Admin ID: WP-4
Admin Name: Moniker Privacy Services
Admin Organization: Moniker Privacy Services
Admin Street: 2320 NE 9th St, Second Floor
Admin City: Fort Lauderdale
Admin State/Province: FL
Admin Postal Code: 33304
Admin Country: US
Admin Phone: [phone]
Admin Phone Ext: 
Admin Fax: [phone]
Admin Fax Ext: 
Admin Email: [e-mail]
Registry Tech ID: WP-4
Tech Name: Moniker Privacy Services
Tech Organization: Moniker Privacy Services
Tech Street: 2320 NE 9th St, Second Floor
Tech City: Fort Lauderdale
Tech Postal Code: 33304
Tech State/Province: FL
Tech Country: US
Tech Phone: [phone]
Tech Phone Ext: 
Tech Fax: [phone]
Tech Fax Ext: 
Tech Email: [e-mail]
Name Server: ns1.fastpark.net 
Name Server: ns2.fastpark.net 
DNSSEC: unsigned
Whoisprivacy: 4
URL of the ICANN WHOIS Data Problem Reporting System: http://wdprs.internic.net/
>>> Last update of WHOIS database: 2014-09-28T16:19:32.0Z <<<

Registry Billing ID: WP-4
Billing Name: Moniker Privacy Services
Billing Organization: Moniker Privacy Services
Billing Street: 2320 NE 9th St, Second Floor
Billing City: Fort Lauderdale
Billing State/Province: FL
Billing Postal Code: 33304
Billing Country: US
Billing Phone: [phone]
Billing Phone Ext: 
Billing Fax: [phone]
Billing Fax Ext: 
Billing Email: [e-mail]
; Please register your domains at; http://www.moniker.com; This data is provided by Moniker Online Services, LLC.
; for information purposes, and to assist persons obtaining information
; about or related to domain name registration records.
; Moniker Online Services, LLC. does not guarantee its accuracy.
; By submitting a WHOIS query, you agree that you will use this data
; only for lawful purposes and that, under no circumstances, you will
; use this data to
; 1) allow, enable, or otherwise support the transmission of mass
;    unsolicited, commercial advertising or solicitations via E-mail
;    (spam); or
; 2) enable high volume, automated, electronic processes that apply
;    to this WHOIS server.
; These terms may be changed without prior notice.
; By submitting this query, you agree to abide by this policy.

Also betreibt unser netter Freund seine Domain in Florida, Amerika

Nun, ich bin Schüler, und mein Englisch ist noch nicht alzu gut.
Ich trau mir es nicht wirklich zu dort hinzuschreiben :(

[Andreas S. (andreas) (Admin)]

Wombat schrieb:
> Sollte man sowas nicht irgendwo melden?

https://www.google.com/safebrowsing/report_badware/

> Man kann doch sicherlich den
> Hoster irgendwie rausfinden und sich dann mit dem Hoster in Kontakt
> darüber setzen?

Das hat vermutlich schlechte Erfolgsaussichten.

[(prx) A. K. (prx)]

Wombat schrieb:
> Also betreibt unser netter Freund seine Domain in Florida, Amerika

Schon der Namen "Moniker Privacy Services" roch mir nach einer 
Organisation zur Verschleierung des eigentlichen Besitzers der Domain. 
Ist es wohl auch: http://www.moniker.com/domains/domain-privacy

Der Besitzer der Domain kann seinen Sitz also ebenso gut in Buxtehude 
haben. Nur wird das schwer zu ermitteln sein.

> Ich trau mir es nicht wirklich zu dort hinzuschreiben :(

Wär auch eher was für Andreas, würde ich meinen. Aber wie da die 
Aussichten sind...

[Rene H. (Gast)]

Andreas Schwarz schrieb:
> Wombat schrieb:
> Sollte man sowas nicht irgendwo melden?
>
> https://www.google.com/safebrowsing/report_badware/
>
> Man kann doch sicherlich den Hoster irgendwie rausfinden und sich dann
> mit dem Hoster in Kontakt darüber setzen?
>
> Das hat vermutlich schlechte Erfolgsaussichten.

Hmm.... Wenn man an abuse@ mailt reagieren die recht fix.

Ich würde das tun, kann aber das Verhalten nicht nachvollziehen.

Grüsse,
R.

[OldMan (Gast)]

Interessant ist, dass z.Zt. beim Aufruf der Domain, eine endlos Schleife
durchlaufen wird. Die nie zum Ende kommt.
microcontroller.net ist: 
http<dangerous>://splitter.ndsplitter.com/?r=3&mid=6&f=DH5&domain=microcontroller.net

Was sagen die Experten dazu?

[Rene H. (Gast)]

OldMan schrieb:
> Interessant ist, dass z.Zt. beim Aufruf der Domain, eine endlos
> Schleife
> durchlaufen wird. Die nie zum Ende kommt.
> microcontroller.net ist:
> http://splitter.ndsplitter.com/?r=3&mid=6&f=DH5&do...
>
> Was sagen die Experten dazu?

An die Admins, könnt ihr bitte den letzten Link von OldMan löschen? Der 
hat mir direkt mein SmartPhone lahm gelegt. Mein Fehler!

Grüsse,
R.

Edit: Es wurde wohl etwas installiert. Das Handy ist aber nur noch am 
rödeln und die Firewall feiert Party.
Am Ende der Session kam irgendeine "ich habe gewonnen" Nachricht. Wie 
man das halt kennt.

[Jörg W. (dl8dtl) (Moderator)]

Rene H. schrieb:
> könnt ihr bitte den letzten Link von OldMan löschen?

Habe ihn mal so editiert, dass man ihn manuell nacheditieren muss,
um sich die URL anzusehen.

[Jörg W. (dl8dtl) (Moderator)]

$ telnet splitter.ndsplitter.com 80
Trying 144.76.1.130...
Connected to splitter.ndsplitter.com.
Escape character is '^]'.
GET /?r=3&mid=6&f=DH5&domain=microcontroller.net HTTP/1.0
Host: splitter.ndsplitter.com

HTTP/1.1 200 OK
Server: nginx/1.1.19
Date: Tue, 30 Sep 2014 08:13:59 GMT
Content-Type: text/html
Connection: close
X-Powered-By: PHP/5.3.10-1ubuntu3.14

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html;charset=utf-8"/>
<title></title>
<link rel="shortcut icon" hrеf="favicon.ico" type="image/x-icon"/>
<script type="text/javascript">
        function f(){
                var get = window.location.search;
        var to = '/go.php';
        document.location.hrеf = to + get;

        }

        window.onLoad = f();               

</script>
</head>
<body>

</body>
</html>

Connection closed by foreign host.
$ telnet splitter.ndsplitter.com 80
Trying 144.76.1.130...
Connected to splitter.ndsplitter.com.
Escape character is '^]'.
GET /go.php?r=3&mid=6&f=DH5&domain=microcontroller.net HTTP/1.0
Host: splitter.ndsplitter.com

HTTP/1.1 200 OK
Server: nginx/1.1.19
Date: Tue, 30 Sep 2014 08:15:34 GMT
Content-Type: text/html; charset=utf8
Connection: close
X-Powered-By: PHP/5.3.10-1ubuntu3.14
Set-Cookie: XID=jiv0nc2c1qfpincbbb55u6q7u5; path=/
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache

Connection closed by foreign host.

Wenn ich ihm den Keks mit auf die Reise gebe, kommt dennoch bloß
ein leeres Dokument zum Vorschein.

Vielleicht reagiert der Salat ja nur auf passende Browser-Kennungen
„bösartig“?

[Lurch (Gast)]

http://safebrowsing.clients.google.com/safebrowsing/diagnostic?site=splitter.ndsplitter.com

In den letzten 90 Tagen hat splitter.ndsplitter.com scheinbar als 
Überträger für die Infizierung von 3 Website(s) fungiert, darunter 
karate.pila.pl/, acadjourn.net/, acurausa.com/.

Wenn man ein bisschen sucht, findet man weitere Domains:
* bhug.org
* asustek.com (hätte Asus aber auch selbst registrieren sollen...)
* googe.fr; googl.fr
* weitere: http://archive.today/splitter.ndsplitter.com

Sollte mich das wundern? Ich glaube nicht:
Diese Website wurde über 1 Netzwerk(e) gehostet (z. B. AS24940 
(HETZNER-AS)).

[Jörg W. (dl8dtl) (Moderator)]

Lurch schrieb:
> Diese Website wurde über 1 Netzwerk(e) gehostet (z. B. AS24940
> (HETZNER-AS)).

Dort wiederum könnte doch aber eine Beschwerde durchaus Sinn haben,
oder?  Ich kann mir gut vorstellen, dass sie derartige Aktivitäten
in ihren Geschäftsbedingungen untersagen.

[Rene H. (Gast)]

Die Seite wurde vom Netz genommen:

Whois Server Version 2.0

Domain names in the .com and .net domains can now be registered
with many different competing registrars. Go to http://www.internic.net
for detailed information.

NDSPLITTER.COM
NDSPLITTER.COM

To single out one record, look it up with "xxx", where xxx is one of the
records displayed above. If the records are the same, look them up
with "=xxx" to receive a full display for each record.

>>> Last update of whois database: Tue, 30 Sep 2014 17:18:19 UTC <<<


<snip><snap>

[Priamos2015 (Gast)]

Die Seite scheint wieder da zu sein. Ein Aufruf von skyrim.nexusmod.com 
wird z.B. auf ww5.skyrim.nexusmod.com umgeleitet und weiter auf 
<http(aufgepasst)://splitter.ndsplitter.com/?r=4&f=DH5&mid=6&domain=nexusmod.com&erc=ab>.
Little Snitch hat sie eben geblockt und auf der aufrufenden Seite steht: 
"[...]Firefox kann keine Verbindung zu dem Server unter 
splitter.ndsplitter.com aufbauen.[...]"

Wie's aussieht (http://website.informer.com/splitter.ndsplitter.com) ist 
sie immer noch bei Hetzner gelistet.

http://domainsigma.com/whois/splitter.ndsplitter.com sieht sie als 
familienfreundlich und Malwarefrei an.