Вирус base64_decode во всех PHP скриптах

Скорее всего вам залили шел на сайт и разместили ссылки. Его нужно найти и удалить.

http://extensions.joomla.org/extensions/access-a-security/site-security

http://nazamok.com

недавно было такое.

но у меня взломали аккаунт в сапе. и на всех сайтах оттуда ыбли повреждены php файлы. благо бэкапы есть.

на всех папках теперь стоит 755

на файлах 644.

раньше на сапе стояло 777( из-за этого и взламывали сайты.

Стучите в асю поможем!

Убивал у себя код вируса вручную (каждый файл по очереди). После исцеления обязательно поменяйте пароли для админки и фтп.

Не факт что это что-то даст.

ага. смотрите права на файлы и папки. у меня была только папка сапы доступна для записи. а злоумышленник взломал мой сапоакк( знал уник код) и спокойно залил шелл.

---------- Добавлено в 01:26 ---------- Предыдущее сообщение было в 01:25 ----------

да у вас железные нервы. лучше иметь бэкап=)

не так давно вычищал подобную дрянь на joomla. Заражены были ВСЕ php файлы. Вручную было лень, скачал себе на комп и почистил все скриптом, залил обратно. А позже вычитал в инете (извините ссылки не нашел как назло, обыскался просто). Это баг в php-5.3.* проявляется таким образом. Если в одном из парамтеров php.ini стоит не пробел "" а Off (НУ НЕ ПОМНЮ ССЫЛКИ!!!) то интерпритатор воспринимает это Off как название файла в директории /tmp и если хакер заливает файл с таким названием в эту самую директорию, то интерпритатор со спокойной душой дописывает содержимое этого файла в конец каждого файла php (если у него на это хватает прав). "И еще подскажите, пожалуйста, какой-нибудь хороший антивирус для сайтов и баз данных (если такой есть)."

Тут поможет только две вещи - прямые руки и умная голова. Ну еще можно попробовать скрипты с масками типовых веб-вирусов (по этому принцпу работают обычные антивирусы)

Но самый безопасный вариант (так сказать первый эшелон защиты) это права на файлы запрещающие писать туда пользователю под которым работает php (за исключением тех, которые нужны для корректной работы системы), нормальные пароли (минимум 12 знаков, а не 123), ну и правила .htaccess запрещающие выполнение файлов php там где их быть не должно. И запрет вызова файлов gif. Радикально? ДА, а что делать. Не все движки преобразуют файлы картинок при загрузке для устранения внедрения в них скрпитов. Надеюсь помог.

Вот, вот. Значит и не обновлялся. По моим личным наблюдениям не такую уж и старую 1.5.23 ломают очень часто, а вот с 1.5.25 пока не было пациентов.

Да говоря по правде у меня четыре jooml'ы полетели 1.5.25 в том числе, при чем на 3ех разных хост площадках. 2 из которых практически новых сайта! и кроме меня о них ни кто не знал.

А вот с этим уже интересно, как думаете может к хостингу обратится?

P.S. Огромное спасибо за помощь! Уже трижды поверил комп на вирусы, сейчас буду привдить сайты в порядок :)

А это уже повод задуматься о том, что кто-то ворует пароли с вашего компьютера. Кейлоггер или храните в Total Commander.

---------- Добавлено в 10:32 ---------- Предыдущее сообщение было в 10:23 ----------

Я у себя сделал так:

• Все пароли занес в программу KeePass
• Удалил пароли из Total Commander
• В настройках php.ini на сервере запретил "любимые" функции заливщиков шеллов - исполнение скриптов и base64_decode в том числе. Перечни функций можно поискать. в любом случае следует запрещать по максимуму, но оставляя сайты работоспособными.
• Поставил защиту от brute force на сервере
• Удалил с сервера все чужие проекты, в отношении которых имелось подозрение, что они слишком уязвимы. В моем случае затруднительно использовать open_basedir, поэтому заражение возможно с чужих аккаунтов

Ну и по мелочи: обязательный антивирус, проверка дат исполняемых файлов, белые и черные списки IP, сообщение на почту о логинах, обязательные раздельные ежемесячные, еженедельные и ежедневные бэкапы в удаленное хранилище.