Hi,
da lacht das Herz. Bisher kam immer, wenn ich in die Browser-Leiste die Adresse: www.haspa.de eingab, die Seite der Hamburger Sparkasse.
Der Firefox ergänzte die Adresse automatisch mit: https://haspa.de.
Heute: Ich mach's wie immer und ich krieg die rote Warnmeldung von G-Data-Internetsecurity: Webseite gesperrt wegen Malware. - Ich guck in die Adressleiste vom Browser und da steht tatsächlich nicht https://haspa.de, sondern http://haspa.de!
Die Meldung vom AntiVirenKit lautet:
Virus: VBS:Malware-gen
Virus beim Laden von Web-Inhalten gefunden. Adresse: haspa.de
Tja, ist jetzt die haspa-Seite gehackt, oder wie kommt es zu dieser Umleitung? - Da ist offensichtlich jemand ganz Raffiniertes am Werk!
Und: Nein, habe nie ne Pfishing-Mail geöffnet, da warnt mich der Thunderbird vor! - Brain.exe ist immer dabei! - Die Registry wird überwacht und Änderungen kann ich jederzeit von Hand blocken (AdWatch von der Pro-Version von AdAware).
Ich gehe jedenfalls davon aus, dass ich keine Malware auf dem Rechner habe. Ich habe nämlich probehalber ein Image von voriger Woche wieder hergestellt ist, als das noch nicht passierte. - Damit passiert jetzt aber dasselbe!!
Es ist also angesagt, bei Seitenaufruf die komplette Adresse einzugeben: https://www.haspa.de!!
Viren, Spyware, Datenschutz 11.255 Themen, 94.796 Beiträge
Der Firefox ergänzte die Adresse automatisch mit: https://haspa.de.
Wohl kaum, Du wirst einen Redirect bekommen, entweder über eine Header-Direktive des HTTP-Protokolles, über einen META-Refresh oder über ein Javascript.
Tja, ist jetzt die haspa-Seite gehackt, oder wie kommt es zu dieser Umleitung?
Denkfehler, es kommt eben keine Umleitung, da diese geblockt wurde.
Es ist also angesagt, bei Seitenaufruf die komplette Adresse einzugeben: https://www.haspa.de!!
Da wäre ich aber vorsichtig. HTTPS ist nur ein Protokoll, keine andere URI. Den Host löst die URI auf, also haspa.de, nicht das Protokoll. Bei einem normalen Webserver wäre es so, dass https://haspa.de vom gleichen Server bedient würde wie http://haspa.de nur im einen Fall von Port 80, im anderen Fall verschlüsselt von Port 443.
Allerdings kommt bei haspa.de eine Sache hinzu. Die URI löst zu folgendem Hostnamen auf:
web-proxy.haspa.de
Das weist darauf hin, dass hier ein Proxy für einen Lastenausgleich zum Einsatz kommt, also hinter diesem Proxy verschiedene Server stehen, die die Anfrage bedienen. Da aber laut deiner Aussage ein Aufruf von http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de automatisch zu einer Umleitung führt und es keinen Sinn machen würde einen anderen Server unter http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de zu betreiben, wenn er sowieso keine Anfragen bedient wird sehr wahrscheinlich https://haspa.de und http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de auf einen Host verweisen, oder eben auf mehrere in einem Cluster.
Es kann allerdings auch sein, dass nicht der wirklich Webserver (Host) die Infektion ausliefert, sondern der Proxy selbst. Auf jeden Fall solltest Du dich nicht sicher fühlen, nur weil Du direkt https://haspa.de aufrufst, denn wie gesagt ist die Wahrscheinlichkeit groß, dass diese Anfrage ebenfalls von einem komprimitierten System bedient wird.
Eine weitere Möglichkeit wäre aber auch, dass die haspa-Server überhaupt nicht infiziert sind, sondern Du auf einem komplett anderen Server landest. Dazu müsstest Du einmal die Namensauflösung kontrollieren. Eine Eingabe von "nslookup haspa.de" auf der Eingabeaufforderung sollte Dir folgende IP zurück liefern:
213.61.98.47
Tut es das nicht, so stimmt etwas mit deinem (deinen) DNS-Servern nicht, oder mit der lokalen Namensauflösung.
Wohl kaum, Du wirst einen Redirect bekommen, entweder über eine Header-Direktive des HTTP-Protokolles, über einen META-Refresh oder über ein Javascript.
Tja, ist jetzt die haspa-Seite gehackt, oder wie kommt es zu dieser Umleitung?
Denkfehler, es kommt eben keine Umleitung, da diese geblockt wurde.
Es ist also angesagt, bei Seitenaufruf die komplette Adresse einzugeben: https://www.haspa.de!!
Da wäre ich aber vorsichtig. HTTPS ist nur ein Protokoll, keine andere URI. Den Host löst die URI auf, also haspa.de, nicht das Protokoll. Bei einem normalen Webserver wäre es so, dass https://haspa.de vom gleichen Server bedient würde wie http://haspa.de nur im einen Fall von Port 80, im anderen Fall verschlüsselt von Port 443.
Allerdings kommt bei haspa.de eine Sache hinzu. Die URI löst zu folgendem Hostnamen auf:
web-proxy.haspa.de
Das weist darauf hin, dass hier ein Proxy für einen Lastenausgleich zum Einsatz kommt, also hinter diesem Proxy verschiedene Server stehen, die die Anfrage bedienen. Da aber laut deiner Aussage ein Aufruf von http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de automatisch zu einer Umleitung führt und es keinen Sinn machen würde einen anderen Server unter http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de zu betreiben, wenn er sowieso keine Anfragen bedient wird sehr wahrscheinlich https://haspa.de und http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de" target="_blank" rel="nofollow">http://haspa.de auf einen Host verweisen, oder eben auf mehrere in einem Cluster.
Es kann allerdings auch sein, dass nicht der wirklich Webserver (Host) die Infektion ausliefert, sondern der Proxy selbst. Auf jeden Fall solltest Du dich nicht sicher fühlen, nur weil Du direkt https://haspa.de aufrufst, denn wie gesagt ist die Wahrscheinlichkeit groß, dass diese Anfrage ebenfalls von einem komprimitierten System bedient wird.
Eine weitere Möglichkeit wäre aber auch, dass die haspa-Server überhaupt nicht infiziert sind, sondern Du auf einem komplett anderen Server landest. Dazu müsstest Du einmal die Namensauflösung kontrollieren. Eine Eingabe von "nslookup haspa.de" auf der Eingabeaufforderung sollte Dir folgende IP zurück liefern:
213.61.98.47
Tut es das nicht, so stimmt etwas mit deinem (deinen) DNS-Servern nicht, oder mit der lokalen Namensauflösung.