Vodafone meint, ich habe einen Virus

[Sherlock]

Zitat von Der schöne Günther:

Nein, ich meine nicht "wie feststellen" sondern "wie dafür sorgen dass diese Seite bei mir angezeigt wird"

Das ist eventuell nicht zielführend. Versuch doch erstmal herauszufinden, ob Vodafone wirklich Herausgeber dieser Meldung ist, sie könnten es ja gut mit Dir meinen. Irgendwas müssen die Dir schon dazu erzählen können. Nur darauf basierend sind weitere sinnvolle Schritte möglich.

Sherlock

[Moombas]

Ganz ehrlich: Wenn man ein wenig sucht findet man immer wieder nur eine einzige Aussage "nicht mal Vodafone kennt die Meldung". Und das sagt schon viel aus. Ich denke das diese Seite ein Fake ist. Auch der "Hinweis" "campaign" (= (Werbe-)Kampagne) in der Adresszeile hat weniger was mit einer echten Sicherheitsprüfung zu tun.

Welche Linkadressen werden dir denn angezeigt, wenn du über den Links den Mauszeiger hast (bei Chrome unten rechts) oder wenn du "Linkadresse kopieren" wählst? Besonders der 2. Link ist hier interessant, da das vom Wortlaut in Richtung Verkauf/ Download geht, woaruf diese Anzeige eher abzielen könnte (mit Panik Geld verdienen).

[Der schöne Günther]

Zitat von Moombas:

Welche Linkadressen werden dir denn angezeigt, wenn du über den Links den Mauszeiger hast

Das habe ich versucht im dritten Bild etwas zu zeigen: Ganz normal http vodafone.de:

Code:

Nutzen Sie professionelle Antiviren-Software, z.B. unser Sicherheitspaket:
<a href="http://vodafone.de/sicherheitspaket">vodafone.de/sicherheitspaket</a>

[Namenloser]

Bekommst du das denn in allen Browsern?

Ich habe mir letztes Jahr auch irgendwie so eine Adware in meinem Firefox eingefangen, und das obwohl ich immer extrem vorsichtig bin, JavaScript und Werbung standardmäßig blocke, und auf Linux unterwegs bin. Dachte immer, sowas passiert nur DAUs, aber ich wurde eines besseren belehrt. Bei mir wurden ca. einmal am Tag zufällig Google-Suchergebnisse auf dubiose Seiten umgeleitet, die mir irgendwelche Schlangenöl-/Schadsoftware andrehen wollten. Der Umstand, dass es nur so selten passierte, machte es unmöglich, herauszufinden, woran es lag. In der Browser-Konsole war nie etwas auffälliges zu sehen, ich hatte nach und nach per Ausschlussverfahren alle möglichen Addons deaktiviert, aber dieses Teil hatte sich irgendwie so tief im Profil eingenistet, dass das alles nichts brachte. Ich habe meinen gesamten Profil-Ordner durchforstet, in der Hoffnung, irgendwas zu finden. Habe ihn sogar mit Antivirensoftware gescannt. Nichts gefunden. Ich musste ein komplett neues Profil anfangen, um das Ding loszuwerden. War etwas nervig.

Was ich auch nicht verstanden habe: Wenn ich bereits infiziert bin, warum versuchen die mir noch weitere Schadsoftware anzudrehen? Man darf nicht mit zu viel Logik an die Sache rangehen. Ich war auch kurz davor, meinen Verstand zu verlieren und hatte schon die Webseiten, die ich aufrufe, im Verdacht, genau so wie du dich jetzt fragst, ob die Meldung nicht vielleicht wirklich von Vodafone kommt. Am Ende lag es eben doch an mir. Ist bei dir wahrscheinlich auch so.

[Der schöne Günther]

Ich hatte das ein einziges mal als ich einmal spiegel.de angesurft habe. Gleichzeitig hatte ich noch Tagesschau.de in einem anderen Tab geöffnet, da war alles normal.

Ich habe seit dem einen mal die Meldung nie wieder gesehen.

Ich habe den Tab auch noch offen.


Ich persönlich gehe schon davon aus dass es wirklich von Vodafone kommt. Und natürlich dass es ein false positive ist. Viren? Ich doch nicht!

[Namenloser]

Was heißt "seit dem einen mal"? Wie lange ist das her? Bei mir kam das wie gesagt auch nur einmal pro Tag und nur bei manchen Seiten bzw. Suchanfragen.

Kannst du mal ein traceroute zu irgendeiner Seite machen und schauen, ob du überhaupt über Vodafone geroutet wirst? Ich hatte mal Vodafone per Mobilfunk (ebenfalls über 1&1), und die haben tatsächlich einen ziemlich aufdringlichen Proxy, der einem gerne mal HTML-Seiten umschreibt, Bilder nachkomprimiert, oder umleitet, wenn das "Highspeed-Volumen" aufgebraucht ist. Insofern würde mich dieses Einlinken in den Traffic bei dem Laden auch nicht wirklich wundern. Aber ich hätte jetzt gedacht, dass die das nur bei Mobilfunk machen und nicht bei DSL-Anschlüssen. Das wäre schon dreist.

[jfheins]

Zitat von Der schöne Günther:

Ich persönlich gehe schon davon aus dass es wirklich von Vodafone kommt. Und natürlich dass es ein false positive ist. Viren? Ich doch nicht!

Nach allem was du geschildert hast, würde ich auch annehmen, dass es von deinem ISP kommt. Was noch interessant wäre: Nutzt du den DNS Server von deinem ISP oder einen selbst definierten?

Wenn du deren DNS Server nimmst, ist es relativ einfach dir so eine Meldung zu präsentieren.

Und denk daran, es muss nicht dein Rechner sein. Die meisten Leute haben ja noch mehr Geräte im Heimnetz, sei es ein Fernseher, Toaster, AV Receiver oder der Starubsauger. Kann alles durch ein Botnetz befallen und als Teil des Botnetzes umfunktioniert werden. Falls du eine Dritzbox hast, kannst du von der ja mal mitschneiden lassen, was so alles ins Internet verbindet. Vielleicht siehst du da ja etwas verdächtiges (Zahlenmäßig oder Datenvolumen mäßig)

[Schokohase]

Zitat von jfheins:

Wenn du deren DNS Server nimmst, ist es relativ einfach dir so eine Meldung zu präsentieren.

Das ist doch völlig egal, welchen DNS Server du verwendest. Wenn über Vodafone-Technik die Bytes kommen, dann kann Vodafone auch entscheiden, ob die diese Bytes nur durchreichen (routen) oder etwas komplett anderes liefern.

Das Stichwort Proxy ist hier auch schon gefallen und da kann man nachlesen, was so ein Dingen macht/machen kann

[Dalai]

@Schokohase:
Es geht beides. Siehe meine Bemerkung zur Telekom Navigationshilfe, die lediglich eine simple (und überflüssige) DNS-Umleitung ist. Ein (transparenter) Proxy ist eine weitere Möglichkeit. Ein MitM ist eine andere, die aber gegen Gesetze verstoßen dürfte, wenn sie ein Provider einfach so bei Kunden anwendet (Pakete haben einerseits gleich behandelt und andererseits nicht manipuliert zu werden).

Grüße
Dalai

[jaenicke]

Wie schon geschrieben:
Bekommst du diese Seite denn von einem anderen Gerät an deinem Anschluss unter der URL aufgerufen? Zum Beispiel eben vom Handy aus via W-LAN?