119 Antworten in diesem Thema

[yiyippeeyippeeyay]

Letzteres gilt für welchen Browser & welches Betriebssystem - genaue Versionen, bitte. Tritt das Problem auch dann auf wenn du vorher alle SFN-Tabs geschlossen hattest & dann neu lädtst? P.S.: Die Ausfall-Meldungen nutzen mir leider wenig, wenn ihr mir nicht genaue Zeitintervalle nennt, nach denen ich in den Logs forschen kann. Sorry.

[Lilena Elle]

Letzteres gilt für welchen Browser & welches Betriebssystem - genaue Versionen, bitte. Tritt das Problem auch dann auf wenn du vorher alle SFN-Tabs geschlossen hattest & dann neu lädtst?

P.S.: Die Ausfall-Meldungen nutzen mir leider wenig, wenn ihr mir nicht genaue Zeitintervalle nennt, nach denen ich in den Logs forschen kann. Sorry.

Es handelt sich im übrigen um meinen Rechner, auf dem Arl im Moment zeitweise arbeiten darf, da seine beiden Rechner gecrasht sind. Entsprechend habe ich das Problem mit der großen Schrift auch, und zwar beständig, seit ich den Rechner heute morgen von Arl wieder übernommen habe.

Das Problem tritt beständig auf, also auch nach Reboot. Natürlich auch nach dem Schließen der Tabs. Neuladen hilft gar nichts.
Ich vermute übrigens mittlerweile, dass mein geschildertes Editorproblem (Posts werden willkürlich abgeschnitten) mit den Wartezeiten, also dem Hauptthema dieses Threads, zu tun hat.

Das Problem tritt ausschließlich auf den Seiten des SF-Netzwerks auf! Und zwar seit heute morgen.

[yiyippeeyippeeyay]

Dann wiederhole ich mal den Satz aus der PM letztens: "Schreib bitte dann auch in der "Hilfe" mal genau was bei dir läuft: Betriebssystem inkl. genauer Vn., Browser inkl. genauer Vn., Java*-Kram inkl. genauen Versionen..."

P.S.: Dass der Server für manche (nicht alle!! ) Leute effektiv viele Minuten ausfällt, hat bestimmt nichts mit der blöden Posteditor-S/W zu tun. Außer jemand hat effektiv unsere PHP-Quellen gehackt. (Wofür nach einigen Stunden Untersuchung nichts spricht.)

[My.]

Ich finde das hier zunehmend ärgerlich, nachdem Yip mehr als 1mal deutlich herausgestellt hat, was an Informationen benötigt wird: Welcher Fehler tritt auf, wann (genau, jedenfalls einigermaßen [mit Uhrzeit!] - nicht "früh", "mittags" oder "letztes Jahr") und in welcher Umgebung (Betriebssystem, Browser, gibt es eine Firewall, wenn ja, Hardware oder Software, wenn ja, welche). Ich denke, dass jeder einigermaßen IT- und internetaffine Mensch heutzutage in der Lage sein sollte, solche Infos zu sammeln und zusammen zu stellen. Ansonsten schickt ihr Yip nur raus, Brötchen holen, obwohl es nirgendwo einen Bäcker gibt. BTW: Arls und Lilenas "Problem" halte ich für hausgemacht. Ich würde einfach mal die Einstellungen im Browser überprüfen (man kann dort mit STRG+plus oder +minus zoomen), und Probleme bei der Erstellung von Beiträgen können auch an Timeouts des eigenen, heimischen Routers liegen (nicht immer ist ein böses Netzwerk schuld). My.

[yiyippeeyippeeyay]

Hi, 64Seiten, die Sache mit der +- 10 Sekunden langen Wartezeit beim Portal ist bekannt. Danke! Aber das geschieht so gut wie immer - mal sind es 7 MinutenSekunden, mal 15, oder sogar 20. Wir sehen uns das an, kommen aber noch auf keinen grünen Zweig - es köönte theoretisch an dieser "alnera.eu"-Sache liegen; mal sehen, was passiert, wenn wir das Problem lösen.

Mir geht es bei genauen Zeitangaben v.a. um längere Totalausfälle (s. Erstpost), also ab mehreren Minuten. Denn das ist m.E. der gravierendste Fehler in den letzten Tagen. Und ich kann das in div. Logs auf dem Server z.B. nicht sehen... (Und habe selber keine Ausfälle erlebt in den letzten Monaten.)

Bearbeitet von yiyippeeyippeeyay, 07 Juli 2014 - 17:09.
: Minuten -> Sekunden

[MoiN]

Aber das geschieht so gut wie immer - mal sind es 7 Minuten, mal 15, oder sogar 20.

Du meinst wahrscheinlich Sekunden?

alnera.eu scheint ja irgendwie im Zusammenhang mit JAVA EXPLOIT AND TROJAN DROPPER zu stehen.

siehe hier: http://malware-traff...7/08/index.html

Da taucht nämlich als Step 2 genau das auf, was ich auch im Browser-Cash gefunden habe:

hxxx://alnera.eu/F39BC8C5.js?cp=Website-Url (z.B. die des Forums, hxxx=http)

Der Inhalt ist extrem technisch und daher nur Experten zugänglich (bin nur gerade per Zufall drüber gestolpert beim googlen).. Da scheinen mir aber doch eine ganze Menge Infos drin zu stehen, wie diese ganze alnera.eu-Geschichte technisch abläuft. Zumindest hat da jemand eine Analyse gemacht, der was vom Thema versteht.

(Vielleicht traut sich das jemand für einen interessierten Laien verständlich zu erklären... ;-) )

Mein Eindruck: ganz so harmlos ist die Sache nicht. Da steckt doch sehr viel Rafinesse dahinter.

Bearbeitet von MoiN, 07 Juli 2014 - 17:04.

[Arl Tratlo]

Hi, 64Seiten, die Sache mit der +- 10 Sekunden langen Wartezeit beim Portal ist bekannt. Danke! Aber das geschieht so gut wie immer - mal sind es 7 MinutenSekunden, mal 15, oder sogar 20. Wir sehen uns das an, kommen aber noch auf keinen grünen Zweig - es köönte theoretisch an dieser "alnera.eu"-Sache liegen; mal sehen, was passiert, wenn wir das Problem lösen.

Mir geht es bei genauen Zeitangaben v.a. um längere Totalausfälle (s. Erstpost), also ab mehreren Minuten. Denn das ist m.E. der gravierendste Fehler in den letzten Tagen. Und ich kann das in div. Logs auf dem Server z.B. nicht sehen... (Und habe selber keine Ausfälle erlebt in den letzten Monaten.)

Präzise jetzt - von 20:30 bis 20:32 - auf die Aktualisierung der Crossover-Seite und des Autorenforums gewartet. Lang genug?

[MoiN]

Um festzustellen, ob man von dieser alnera.eu betroffen ist, reicht ein Blick ins Firewall-Protokoll (oder das des Routers).

Wenn dort die IP-Adressen 31.170.179.179 oder 31.170.178.179 auftauchen, dann hat man ebenfalls das Problem (wie ich inzwischen festgestellt habe, werden zwei IPs kontaktiert).

Hier der Auszug aus dem Protokoll:

Typ Zeitpunkt Anwendung Port IP
(Ausgehend) 07.07.2014 22:00:07 C:\Programme\Mozilla Firefox\firefox.exe 443 173.194.39.5
(Ausgehend) 07.07.2014 22:00:06 C:\Programme\Mozilla Firefox\firefox.exe 80 173.194.39.8
(Ausgehend) 07.07.2014 22:00:06 C:\Programme\Mozilla Firefox\firefox.exe 443 173.194.39.5
(Ausgehend) 07.07.2014 21:59:58 C:\Programme\Mozilla Firefox\firefox.exe 80 31.170.179.179
(Ausgehend) 07.07.2014 21:59:58 C:\Programme\Mozilla Firefox\firefox.exe 80 31.170.178.179
(Ausgehend) 07.07.2014 21:59:58 C:\Programme\Mozilla Firefox\firefox.exe 80 31.170.179.179
(Ausgehend) 07.07.2014 21:59:58 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:58 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:58 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:57 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:57 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:57 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:57 C:\Programme\Mozilla Firefox\firefox.exe 80 31.170.178.179

!!!!!! 20 Sekunden Lücke (warten)

(Ausgehend) 07.07.2014 21:59:37 C:\Programme\Mozilla Firefox\firefox.exe 80 31.170.179.179
(Ausgehend) 07.07.2014 21:59:37 C:\Programme\Mozilla Firefox\firefox.exe 80 31.170.179.179
(Ausgehend) 07.07.2014 21:59:37 C:\Programme\Mozilla Firefox\firefox.exe 80 31.170.179.179
(Ausgehend) 07.07.2014 21:59:36 C:\Programme\Mozilla Firefox\firefox.exe 80 31.170.179.179
(Ausgehend) 07.07.2014 21:59:36 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:36 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:36 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:32 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:32 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:30 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188
(Ausgehend) 07.07.2014 21:59:30 C:\Programme\Mozilla Firefox\firefox.exe 80 85.214.21.188


(die drei ganz oben sind von GOOGLE, die anderen Forum)

Passiert immer nur bei www.scifnet.org (vor dem Versuch empfielt es sicher aber, den Cash zu leeren und die Verbindung zum Provider neu aufzubauen).. Die Verzögerung ist nicht immer so gro0 wie oben, kann manchmal länger, manchmal kürzer, manchmal auch ganz wegfallen. Nur der Blick ins Protokoll schafft Gewißheit.

Bearbeitet von MoiN, 07 Juli 2014 - 21:50.

[MoiN]

Ein Bekannter von mir, der sich etwas mit der Thematik auskennt, hat sich mal den Code angeguckt, den der Server schickt, um die Seite aufzubauen.

Dabei ist ihm folgender Eintrag aufgefallen:

<script type='text/javascript' src='http://www.scifinet.org/scifinetboard/index.php?ipbv=8c3415829c009159e532e23488a5b166&charset=UTF-8&f=public/js/ips.quickpm.js&c=1'></script>

Nun hat er, wie er mir erklärte, im Quelltext den Kram hinter ipbv=xxxx geändert

<script type='text/javascript' src='http://www.scifinet.org/scifinetboard/index.php?ipbv=b166&charset=UTF-8&f=public/js/ips.quickpm.js&c=1'></script>

d.h. im Grunde nur extrem verkürzt.

Diesen veränderten Quelltext hat er gespeichert und dann in Firefox geöffnet (vorher Cache gelöscht, neue IP).

Und siehe da: KEIN ZUGRIFF MEHR AUF alnera.eu. !!!!

Offenbar - ich habe keine Ahnung warum - steckt in diesem Codefragment das ganze Übel.

Nun seid ihr dran!

NB: irgendwie liest sich das alles für mich wie eine spannende Kriminalgeschichte. Wenn das Thema nicht so ernst wäre (wer lädt sich schon gerne irgendwelche Malware durch Besuch einer Website auf seinen Rechner) Bis jetzt konnte ich noch nicht feststellen, ob Rechner dadurch befallen sind. Aber auf dem Gebiet kann man nicht vorsichtig genug sein.

PS: Im der sogenannten "Browserkonsole" erscheint an der obigen Stelle jetzt lediglich ein Hinweis "Syntax error" und kein "GET alnera.eu...".

Bearbeitet von MoiN, 08 Juli 2014 - 09:57.

[Schlomo]

Das könnte weiterhelfen:

http://malware-traff...net/2013/07/08/

Bei mir tritt das Problem nicht auf, aber ich geh auch direkt über http://www.scifinet....oard/index.php? ins Forum. Demnach muss die Ursache entweder auf www.scifinet.org oder lokal auf den Rechnern der Betroffenen liegen.

Hab bei mir gerade die Histories (Browser, Firewall, etc.) angesehen, und da taucht kein Zugriff auf alnera.eu oder eine der damit assoziierten Domains auf.

Schalom,

Schlomo

[MoiN]

Demnach muss die Ursache entweder auf www.scifinet.org oder lokal auf den Rechnern der Betroffenen liegen.

Wenn's lokal sein sollte, müßte es sich doch bei allein Websites bemerkbar machen. Aber nein, nur www.scifinet.org ist betroffen. Das muß dann aber schon eine verdammt raffinierte lokale Malware sein, die ausgerechnet NUR www.scifinet.org ins Visier genommen hat.

Wie es scheint, hat ja außer 2 oder 3 Leuten hier keiner irgendwelche Probleme damit. Muß man wohl unter der Rubrik "Ungeklärte Rästel des Internets" ad acta legen.

Noch eine Beobachtung von gerade:

Wenn ich die Firewall im "Stealth Modus" betreibe, scheint www.scifinet.org clean zu sein. Nichts mehr mit alnera.eu. Stealth bedeutet, daß kein Hinweis mehr auf das verwendete Betriebssystem rausgeschickt wird. Sobald ich den Modus wieder ausschalte, habe ich den üblichen Schlamassel. Wie das zu bewerten ist, müssen die Experten entscheiden.

(Blöderweise funktioniert im Stealthmodus der Post-Editor nicht mehr richtig... wie ich gerade feststellen mußte )

Bearbeitet von MoiN, 08 Juli 2014 - 16:24.

[Schlomo]

Ein Geheimnis wird das nicht bleiben, dazu ist der Angriff zu simpel gestrickt und das Verfahren schon zu lange bekannt. Was ich mit lokal auf dem Computer des Users meinte: Es funktioniert zum Beispiel nur, wenn er Javascript eingeschaltet hat. Und ja, die Zeile, die du gefunden hast, ist schon die Richtige. Das verlinkt zu (vermutlich, habs nicht nachgeprüft) alnera.eu, eine Domain in Tschechien. Und die Seite dort wiederum versucht, den Download von Wasauchimmer von irgendwoher zu starten. Ob das aktuell geschieht, weiß ich nicht. Vielleicht gibt es auch nur ein paar fehlschlagende Versuche – daher die Wartezeit – und das war`s dann. Wie dieses Javascript auf die scifinet.org Seite gekommen ist, wird etwas schwieriger herauszufinden sein. Scheint mir aber der eigentlich interessante Punkt zu sein. Schalom, Schlomo

[methom]

Wenn ich die Firewall im "Stealth Modus" betreibe, scheint www.scifinet.org clean zu sein. Nichts mehr mit alnera.eu. Stealth bedeutet, daß kein Hinweis mehr auf das verwendete Betriebssystem rausgeschickt wird. Sobald ich den Modus wieder ausschalte, habe ich den üblichen Schlamassel. Wie das zu bewerten ist, müssen die Experten entscheiden.

Interessant, welches Betriebssystem ist es denn bei dir? (Sorry, falls du es schon geschrieben hast, ich habe langsam den Überblick verloren.)

[MoiN]

Ich habe einen Tipp umgesetzt und verwende jetzt das Firefox-Addon "User Agent Switcher". Damit kann ich dem Webserver vorgaukeln, was ich will.

(ohne Eingriff in die Firewalls)

Bearbeitet von MoiN, 09 Juli 2014 - 07:11.

[MoiN]

Ein Geheimnis wird das nicht bleiben, dazu ist der Angriff zu simpel gestrickt und das Verfahren schon zu lange bekannt.
...
Wie dieses Javascript auf die scifinet.org Seite gekommen ist, wird etwas schwieriger herauszufinden sein. Scheint mir aber der eigentlich interessante Punkt zu sein.

Hmm... Noch interessanter dürfte m.E. sein, warum es da immer noch ist, obwohl der Sachverhalt nun schon etliche Tage bekannt ist...

(So simple scheint es also nicht zu sein)

Bearbeitet von MoiN, 11 Juli 2014 - 09:40.

[yiyippeeyippeeyay]

Einige von uns haben die letzten Tage so oft wir konnten dran gearbeitet - ein 1. Workaround scheint seit heute zu funktionieren. (Teste du auch mal.) Die Globalmods melden sich wenn es aus unserer Sicht "vorbei" ist...

Bei Google & Co. war aber (pour moi) nichts zu finden dazu.

Bearbeitet von yiyippeeyippeeyay, 23 Juli 2014 - 14:58.
: Durchstreichung

[lapismont]

Gute Arbeit,!


Gute Arbeit,!

[MoiN]

He, super!

Habe es gerade mal wieder in meiner alten Standardkonfiguration ausprobiert. Und siehe da: Firewall schreit nicht mehr wegen alnera.eu und auch der Cache (about:cache bei Firefox) hatte keine alnera.eu-Einträge mehr.

Gratulation!

Zumindest DAS Problem scheint vom Tisch zu sein.

EDIT:

Die Portalseite wird übrigends genauso rasant geladen wie die anderen Seiten! KEINE lange Verzögerung mehr!

Bearbeitet von MoiN, 11 Juli 2014 - 11:29.

[Gallagher]

Scheint zu gehen...

[MoiN]

Von 12:40 bis gerade (13:30) kein Zugriff aufs Forum. Alle anderen Websites funktionierten:

Fehlermeldung nach Timeout:

Fehler: Verbindung unterbrochen

Die Verbindung zum Server wurde zurückgesetzt, während die Seite geladen wurde.


Hier noch ein Traceroute während dieser Zeit:

Traceroute / Ping / Whois
angeboten von n@work

traceroute to www.scifinet.org (85.214.21.188), 30 hops max, 60 byte packets
1 luise7.work.de (212.12.39.5) 0.186 ms 0.162 ms 0.415 ms
2 luise2.work.de (212.12.32.225) 0.725 ms 0.714 ms *
3 decix.work.de (212.12.34.74) 0.690 ms 0.680 ms *
4 morla.rzone.de (80.81.193.110) 9.720 ms 9.721 ms 9.713 ms
5 xe-0-0-1.core-b30.as6724.net (85.214.0.64) 22.870 ms 20.978 ms 20.979 ms
6 ae1.0.core-b30.as6724.net (85.214.0.66) 21.683 ms xe-2-3-0.0.core-b2.as6724.net (85.214.0.68) 21.418 ms 21.409 ms
7 vl451.dcata-b17.as6724.net (85.214.0.175) 22.327 ms 22.622 ms vl433.dcata-b17.as6724.net (85.214.0.169) 22.041 ms
8 h1813320.stratoserver.net (85.214.21.188) 21.843 ms 21.813 ms 21.619 ms

Bearbeitet von MoiN, 23 Juli 2014 - 12:38.

[TheFallenAngel]

bei mir war SFN auf arbeit heute komplett tot von ca. 11:45 bis feierabend, also 14:xx. mysteriöserweise direkt nach dem firefoxupdate auf v31 *g fehlermeldung gabs keine, wurde nur ununterbrochen versucht zu laden, aber halt nix angezeigt.

[yiyippeeyippeeyay]

Danke fürs Melden! In euren Zeitspannen war ich allerdings mehrfach problemlos drauf.

Ich bin nun in Absprache mit Markus dabei, eine HTTP-Analysier-S/W auf dem Server zu installieren, in der Hoffnung, dass dadurch mehr heraus kommt via den Apache Access Logs. Ich hatte selbst auch zum 1. Mal vor einigen Tagen einen Ausfall von einigen Minuten...

P.S. @MoIN: Der n@work-Server kam also nach 21 Sekunden in deiner Zeitspanne sehr wohl drauf, wenn ich das richtig lese... Wobei sich 20 der 21 schon lange vor dem Berliner (Strato-) Server ansammelten. Hm.

[MoiN]

Nur zur Ergänzung: Hatte das Laden auch mal über den Anonymisierdienst http://anonymouse.org/anonwww_de.html probiert. Mit dem ging es auch nicht. Beschwerte sich über "Zeitüberschreitung bei Anfrage". (Andere habe ich nicht probiert, vermutlich wäre etwas ähnliches dabei herausgekommen)

[My.]

Der externe Dienstleister meines hauptberuflichen Arbeitgebers berichtete in seinem täglichen Newsletter über heutige Probleme bei mehreren deutschen DNS-Servern. Ich hatte auch keine Verbindung zum SF-Netzwerk (für einige Stunden). Die erwähnten Probleme könnten die Erklärung sein. (Welche DNS angesprochen werden, hängt i.d.R. vom Zugangsprovider ab, was erklären würde, warum MoiN und ich nicht reinkamen, Yip jedoch sehr wohl.) My.

Bearbeitet von My., 23 Juli 2014 - 17:02.

[yiyippeeyippeeyay]

Das wäre eine gute Nachricht denn für Probleme mit DNS-Servern können wir Forumsbetreiber nichts. (Außer unsere Domainprovider mal um Stellungnahme bitten. Denn die dürften ja daran interessiert sein, dass ihre Kunden & deren Benutzer an ihre Server kommen. Vielleicht tu ich das im Laufe der Woche mal...)

[My.]

Ich habe schon um Verifikation gebeten, welche DNS betroffen waren. Die Provider selbst können meist auch nichts anderes, als zu leiden Wenn ich mehr weiß, melde ich das hier. Wird aber frühestens morgen der Fall sein. My.

[MoiN]

Hm, ich habe es nicht protokolliert, aber das "ping www.scifinet.org" hat problemlos funktioniert. Ich weiß allerdings nicht mehr, ob die IP, die angezeigt wurde, die normale von "www.scifinet.org" war. Könnte ja sein, daß irgendein DNS-Server eine falsche IP lieferte. (Und wer weiß, wer da am anderen Ende saß? Die NSA? :-) )

[TheFallenAngel]

für die akten: heute von ca. 5 vor acht bis ca. 10 nach acht in der früh kompletter boardausfall bei mir und der anderen (besseren *g) hälfte der filmcrew. wie meist keinerlei fehlermeldung, es lädt und lädt und lädt und nix passiert. ebenso plötzlich gings dann wieder.

[MoiN]

Das kann ich bestätigen. Bei mir war es auch kurz nach einer vollen Stunde für mehrere Minuten. Ich kann jetzt aber nicht mehr sagen, ob es 8 Uhr oder 9 Uhr war.

[MoiN]

Nur als Info: Seit 20.40 UHr dauert der Aufruf einzelner Threads seeehr lange, manchmal braucht es mehrere Sekunden, bis sich was tut. Auch Login ist davon betroffen. NB: Jetzt - seit ca. 21.30 - läuft wieder alles rund.

Bearbeitet von MoiN, 08 September 2014 - 21:04.