Thema "Betreff: Viren-Warnung" in Störungen im DSL-Netz

Viren-Warnung

Grimwood — Sat, 26 Jan 2019 07:47:14 GMT

Hallo,

worum handelt es sich genau bei dieser Meldung? Keiner der Links sind "Fake Links", ist es also offiziell von Vodafone, die versuchen "uploaded.net" zu blocken? Normalerweise sind solche Warnungen ja immer Fakeseiten, aber hier?

Danke

Betreff: Viren-Warnung

reneromann — Sat, 26 Jan 2019 14:04:03 GMT

Worum es sich handelt, steht doch da:

VF hat verdächtige Netzaktivität eines deiner Geräte erkannt und weist dich darauf hin, dass du doch bitte mal deine Geräte entsprechend überprüfen mögest.

Und bevor die Frage kommt, wie das geht:

Dort werden die bekannten Adressen, an die sich die Viren verbinden (z.B. Botnetz-Controller) seitens VF auf "eigene" Logging-Server umgebogen und jeder Kunde, der diese Adressen aufruft (bzw. wo der Virus es macht). Im Anschluß gehen entsprechende Meldungen an die Kunden raus, dass ihre Rechner vermutlich virenverseucht sind.

Gerade wenn man sich in den "grauen" Bereichen des Internet auf irgendwelchen "Für-Lau-Seiten" umhertreibt, darf man sich nicht wundern, wenn man sich da schnell mal was einfängt.

Betreff: Viren-Warnung

Grimwood — Sat, 26 Jan 2019 14:20:56 GMT

"Worum es sich handelt, steht doch da:

VF hat verdächtige Netzaktivität eines deiner Geräte erkannt und weist dich darauf hin, dass du doch bitte mal deine Geräte entsprechend überprüfen mögest."

Seufz. Wenn jemand, der keine Ahnung hat, einfach auf alles antwortet. Aber dafür ein "Giga Genie".

Daher: Falls jemand tatsächlich weiss, was das soll, freue mich auf Antworten.

Achja: Laut Vodafone Hotline kennt das niemand (wie auch, ist ja wie gesagt, ein offensichtlicher Fake - mit dem seltsamen Unterschied, dass es keine Fake Links sind), laut diversen Scannern wurde auch nichts gefunden - und inzwischen ist die Warnung auch plötzlich nicht mehr vorhanden (ohne was geändert zu haben).

Betreff: Viren-Warnung

reneromann — Sat, 26 Jan 2019 16:19:39 GMT

Ich habe bei Bekannten eben jene Meldung ebenfalls schon gesehen - dort wurde aber die betreffende Seite jedoch (wenn auch nur manuell, weil man's testen wollte) aufgerufen.

Wie gesagt: Das System kann nicht erkennen, ob es sich wirklich um einen Virus handelt -oder- ob berechtigte Software auf diese Honeypot-Server zugreifen wollte. Es ist jedoch zu einem solchen Zugriff auf ein Honeypot-System gekommen - ob dann wirklich eine Vireninfektion vorliegt oder nicht, dann das System nicht alleine aufgrund des Zugriffs auf den Honeypot entscheiden (daher ist die Meldung auch bewusst so vage gehalten).

Es wäre natürlich auch denkbar, dass du die Meldung irrtümlich angezeigt bekommen hast, weil der "vorherige" Nutzer der IP solche Probleme verursacht hat...

Betreff: Viren-Warnung

mgutt — Tue, 26 Mar 2019 11:26:33 GMT

Bei mir auf dem Desktop PC wurden auch Seiten von Vodafone blockiert. Ich konnte z.B. wie andere User nicht mehr auf die unverschlüsselte Spiegel Website zugreifen, obwohl ich diese Website quasi nie nutze. Es gibt einen "Ignorieren & weiter"-Link bzw "Verstanden", aber diese funktionieren nicht (Da freut sich der Spiegel bestimmt über den Wegfall seiner Werbeeinnahmen).

Ich habe dann mal verschiedene Browser getestet. Es hängt vom User-Agent ab. D.h. Chrome, Firefox, etc erhalten die Meldung, aber Chrome Mobile (Android) und Opera nicht. Änderte ich den User-Agent in Chrome auf Opera, dann kam ich wieder auf die Spiegel-Seite. Das spricht so weit ich das verstehe gegen einen Filter über den DNS-Server von Vodafone.

Also habe ich in meiner Fritz!Box eine neue Verbindung ausgelöst, damit ich eine neue IP erhalte. Und prompt konnte ich wieder alle Websites öffnen.

Ich bin trotzdem erstaunt darüber, dass Vodafone ungefragt mein Surfverhalten überwacht und den Aufruf von Websites einschränkt, weil ich angeblich Adware auf meinem Rechner hätte, was laut diverser Scanner nicht der Fall ist. Und auch wenn es sich vermutlich um einen Fehler eines Vodafone Proxy Servers handelt, ist zumindest mein Vertrauen geschädigt. Denn auch wenn http Seiten unverschlüsselt übertragen werden, gibt es Vodafone noch lange nicht das Recht darin herumzuschnüffeln.

Betreff: Viren-Warnung

mgutt — Tue, 26 Mar 2019 15:08:19 GMT

Jemand von der Technik hat mich angerufen und meinte, dass es solche Warnungen bei Vodafone nicht gäbe. Auch nach einem weiteren Anruf nach Rücksprache mit den Kollegen, kann man sich die Meldung nicht erklären. Man werde aber trotzdem die von mir zu dem Zeitpunkt genutzt IP prüfen.

Das ist übrigens die URL auf die jeder Aufruf weitergeleitet wurde. Also auch der hexadezimale Wert in der URL ist immer gleich geblieben:

http://sicherheit.vodafone.de/campaign/eaf4e8ce1c664c62/get/message.html?url=http://www.spiegel.de/

Diese URL kann ich nicht mehr aufrufen, seitdem ich eine neue IP habe. Selbst die Subdomain http://sicherheit.vodafone.de/ geht nicht auf.

Interessant ist auch, dass die URL http://vodafone.de/scanner aus der Meldung mich auf https://kabel.vodafone.de/tarife/meinedienste/viren-scanner?source=cvm_scanner_redirect_txt weiterleitet und offensichtlich nur für Kabel-Kunden gedacht ist. Siehe Screenshot. Hatte ich als DSL Kunde evtl eine IP aus dem Kabelbereich? Vielleicht kann ja noch jemand das Mysterium aufklären. Da es bei mir jetzt wie gesagt keine Probleme mehr gibt, bin ich erst mal raus 😉

Betreff: Viren-Warnung

Michi — Wed, 27 Mar 2019 09:23:16 GMT

Hallo @Grimwood,

hallo @mgutt,

aufgrund der gesetzlichen Regelungen sind wir dazu verpflichtet, Kunden über Schadsoftware-Befall zu informieren (§109a TKG). Mit den Infos wollen wir unsere „infizierten“ Kunden auf ihre Sicherheitslücke aufmerksam machen, aufklären und Hilfestellung bei Säuberung und Schutz an die Hand geben.

Mit dieser Meldung haben wir Euch darüber informiert, dass Euer PC, Tablet oder Smartphone von einem Virus, Trojaner oder sonstiger Schadsoftware befallen sein könnte. Möglicherweise sind sogar Zugangsdaten ausgespäht worden und der Computer dient in einem Botnet als "Zombie"; und verschickt dabei unbemerkt Spam- oder Phishing-Emails oder leistet Hilfe bei einer DDoS-Attacke auf fremde Webseiten.

Was ist zu tun:

Installiere bitte einen Virenscanner und scanne regelmäßig --> vodafone.de/sicherheitspaket schützt alle Geräte im Haus.
Aktualisiere regelmäßig die Sicherheitsupdates Deines Betriebssystems. Nimm immer einen aktuellen Browser.
Aktiviere die Firewall Deines Betriebssystems oder Deines Sicherheitsprodukts.
Änder Deine Passwörter, die Du im Internet nutzt (z.B. E-Mail, Facebook, Twitter, etc.).

Weitere Infos und Hilfe erhaltet Ihr auf https://botfrei.de/de/teilnehmer/vodafone/ oder beim BSI www.bsi-fuer-buerger.de.

Lieben Gruß,

Michi

Betreff: Viren-Warnung

Grimwood — Wed, 27 Mar 2019 09:38:16 GMT

"haben wir Euch darüber informiert, dass Euer PC, Tablet oder Smartphone von einem Virus, Trojaner oder sonstiger Schadsoftware befallen sein könnte"

Ähm, nicht wirklich. Auf der intrusiven Seite steht, mein Gerät sei befallen. Was nicht stimmt.

Betreff: Viren-Warnung

mgutt — Wed, 27 Mar 2019 09:57:21 GMT

Danke @Michi , aber mit "könnte" kann ich nichts anfangen. Solange man keine Logs aushändigt, ist das eine nichtssagende Meldung und sollte es die geben, dann sendet mir die doch bitte zu. Das einzige Schlagwort in der Meldung ist Adware, also das Einschleusen von Werbung in bestehende Websites und das kann ein Provider überhaupt nicht erkennen, da dies lokal erfolgt und die URLs solcher Werbebanner genauso auf einer normalen Website auftreten (es werden nur eben Ref-Ids angepasst).

In meinem Heimnetz befinden sich zig Clients unterschiedlicher Betriebssysteme, die permanent online sind, wie Heizung, NAS, Security Gateway, Smartphones, Tablets, Fernseher und Desktop PCs. Die meisten Betriebssysteme basieren auf Linux. Da ich Entwickler bin und von zu Hause aus arbeite, agieren diese Clients zusätzlich in getrennten VLANs.

Da die Meldung nur über Chrome und Firefox zu sehen war, kann ich davon ausgehen, dass die Zugriffe von einem W10 Desktop Rechner kamen oder werft ihr die Meldung einfach so raus wie es euch beliebt? Darauf deutet es nämlich hin, da ich Firefox schon seit Monaten nicht mehr genutzt habe.

Dann zu deinen Vorschlägen:

- Virenscanner sind installiert, sofern die Betriebssysteme das überhaupt zulassen

- Updates installieren sich von alleine. Alte Betriebssysteme oder Browser verwende ich nicht.

- Firewalls sind aktiviert, sofern die Betriebssysteme sie enthalten, bieten aber quasi keinen Mehrwert, da diese Funktion logischerweise der Router übernimmt. Trojaner nutzen außerdem Standardports, damit sie nicht auffallen. Der Tipp ist also nutzlos.

- ich habe über 1000 Online-Accounts mit unterschiedlichen Passwörtern (nein, keine Übertreibung). Überall wo es möglich ist nutze ich die 2-Faktor-Authentifizierung. Gäbe es einen Missbrauch würde das automatisch eine Meldung des jeweiligen Diensteanbieters auslösen. Der Tipp sein Facebook- oder Twitter-Passwort zu ändern ist nutzlos. Solche Accounts haben rein gar nichts mit lokalen Aktivitäten zu tun.

Eine etwas hilfreichere Antwort und weniger Standardtext um die Sache abzuhaken wäre nicht verkehrt.

Übrigens kamen die Warnmeldungen erst am 23.03. als sich der Router wegen einem DSL Sync-Abbruch eine neue IP holte. Am 26.03. hörten die Meldungen mit einer weiteren neuen IP auf, als ich die Verbindung manuell erneuerte. Sollte es also einen Befall in meinem Netzwerk geben, so frage ich dich warum sie seit gestern aufgehört haben. Außerdem bitte ich um konkrete Infos was die "Adware"-Erkennung überhaupt erkennen will und ob besagte Desktop PCs betroffen sind oder es einfach eine allgemeine Meldung darstellt.

Betreff: Viren-Warnung

Julz2k — Wed, 27 Mar 2019 11:40:32 GMT

Eigentlich sollte man diesen Schutz ausstellen können, die gleiche Meldung hatte ich vor 10 Jahren bei NetCologne, konnte ich dann durch mehrmaliges Bestätigen ausstellen bzw. pausieren und über die Servicehotline komplett deaktivieren für meine Nutzerkennung.

Vielleicht hilft aber auch schon ein anderer DNS Server, kannst du mal probieren.
Vodafone hat z.B. die boerse auch seit neustem blockiert insofern man den Vodafone DNS benutzt, dementsprechend findet auch eine Zensur statt, von daher würde ich sowieso nur Anbieterunabhängige DNS-Server benutzen.

Betreff: Viren-Warnung

mgutt — Wed, 27 Mar 2019 13:34:39 GMT

Das kann gut sein. Leider habe ich versäumt die aufgelöste IP-Adresse der Spiegel-Website auszulesen. Ich teste das, sofern ich das Problem noch mal haben sollte.

Betreff: Viren-Warnung

Martina29 — Thu, 28 Mar 2019 14:42:09 GMT

Bei mir das gleiche Problem seit gestern. Mehrere Seiten gehen nicht auf. Bin schon total genervt. Virenscan habe ich mehrmals gemacht. Aber immer wieder diese Warnung.

Betreff: Viren-Warnung

mgutt — Fri, 29 Mar 2019 08:44:18 GMT

Beginnt deine IP zufällig mit 145?

Weißt du wie man den DNS in Windows ändert? Das wird hier erklärt:

http://techmixx.de/windows-10-dns-server-aendern-fuer-schnellere-verbindungen/

Wir wollten ja herausfinden ob es eine Filterung über den DNS ist.

Betreff: Viren-Warnung

Martina29 — Fri, 29 Mar 2019 09:07:25 GMT

Nein mit 88.78 und wenn ich aud deinen Link gehe kommt auch die Warnung.

Betreff: Viren-Warnung

mgutt — Fri, 29 Mar 2019 09:19:06 GMT

Ja, weil die Seite unverschlüsselt ist. Sorry. Hier die sollte gehen:

https://www.ionos.de/digitalguide/server/konfiguration/dns-server-aendern/#c121380

Betreff: Viren-Warnung

Martina29 — Fri, 29 Mar 2019 10:28:06 GMT

Alles so gemacht. LapTop runtergefahren. Seite aufgemacht und es kommt wieder:

Viren-Warnung

Liebe Vodafone-Kundin, lieber Vodafone-Kunde,

mindestens eins Ihrer Geräte ist von Schadsoftware der Kategorie "Financial" befallen.

Was können Sie jetzt tun?

Prüfen und bereinigen Sie Ihre Geräte mit einem Viren-Scanner, z. B. mit dem kostenlosen Online-Scanner unter vodafone.de/scanner

Wie schützen Sie sich in Zukunft?

Nutzen Sie professionelle Antiviren-Software, z. B. unser Sicherheitspaket: vodafone.de/sicherheitspaket

[+] Weitere Infos, wie Sie Ihre Sicherheit im Netz erhöhen

[+] Sie wollen mehr Infos zu dieser Viren-Warnung?

[+] Sie brauchen weitere Hilfe?

Betreff: Viren-Warnung

mgutt — Fri, 29 Mar 2019 10:35:52 GMT

Wichtig: Da du einen Laptop verwendest, gehe ich mal davon aus, dass du mit WLAN surfst. Hast du den DNS beim WLAN Adapter geändert oder nur beim LAN-Adapter oder hat dein Laptop sogar nur WLAN?

Du kannst noch mal prüfen ob der von dir eingestellte DNS aktiv ist:

https://blog.botfrei.de/2011/12/dns-server-mittels-ipconfig-uberprufen-windows/

Falls ja, dann spricht das dafür, was ich mir bereits dachte. Und zwar schaltet Vodafone einen Proxy dazwischen. Das finde ich persönlich aus Datenschutzgründen brisant, da das heißt, dass Vodafone alle unverschlüsselten Zugriffe überwacht. Da es keinen technischen Grund für einen Proxy gibt, finde ich das bedenklich.

Wenn Du sicher bist, dass der DNS aktiv ist, kann ich dir nur raten eine neue Internetverbindung aufzubauen. Entweder meldest du dich beim Router an und löst dort eine neue Verbindung aus oder du ziehst einfach kurz den DSL Stecker, damit er sich neu synchronisieren muss. Sobald du eine neue IP hast, sollte das Problem dann zumindest fürs erste behoben sein.

Betreff: Viren-Warnung

Martina29 — Fri, 29 Mar 2019 11:10:37 GMT

So Stecker gezogen und es geht. Vielen lieben Dank.

Betreff: Viren-Warnung

Grimwood — Fri, 29 Mar 2019 11:28:29 GMT

Das ist doch noch lächerlicher und unverschämter. Die Warnung geht darum bzw. sagt, dass man einen Virus habe. Wenn man dann mit anderem DNS oder IP draufgeht, gibt's diese Warnung nicht. Also ***, Zensur, oder was auch immer. Warum gibt's da nix?

Betreff: Viren-Warnung

asdfasdfqwer — Fri, 29 Mar 2019 17:54:40 GMT

Auch ich erhalte aus unerfindlichen Gründen seit Anfang des Monats ab und an besagte Meldung. Sehr ulkig, da wir gar keine Vodafone-Kunden sind. Offenbar mieten sich auch andere Provider dort IP-Adressen; jedoch finde ich es dann etwas frech, per DNS-Umbiegung mit Werbemaßnahmen für irgendwelche Zusatzpakete bedacht zu werden. Auch die fehlende Möglichkeit, die Meldung zu umgehen (außer durch Neuverbindung / Nutzung eines alternativen DNS) kann ich bestätigen. Ich schlage vor, dass Sie ihre Heuristiken, die Zuordnung von IP-Adressen zu Kunden und Zeiträumen sowie die Funktionalität Ihrer Meldungsseite überprüfen und rege außerdem an, Denial-of-Service-Angriffe auf Nutzer Ihrer Infrastruktur nicht für Marketingzwecke (kostenpflichtige Zusatzpakete) zu mißbrauchen.