Javascript-вирус?

Было бы хорошо, если вирус прописался тупо в шаблоне, источник может быть и паблик движок (его дырки) или залитый шелл, если шелл, то тут уже проблем становится больше - это слитый сайт, проставленные левые ссылки в контенте и др. дребедень.

На днях у клиента на всём фтп заразили .js файлы - и самописы пострадали, и вп и форум.

Rxp, пока что замечено только на самописных движках.

alex063, есть пример, что за заразу в них подсунули?

UPD. Хотя, только что нашел. Вот такую красоту:

тоже подхватил эту заразу. Судя по всему появилась либо вчера либо сегодня. Бэкапы хоста не помагают. В гугле как то глухо, окромя этой темы. Отпишитесь в ветке пожалуйста если найдете решение. А то я совсем нуб в этом деле...

Я кое-где почистил руками, но когда понял, что заражены все несколько десятков сайтов (в каждом примерно столько же js файлов), написал хостеру, чтобы восстановил бекап за воскресение (когда все было нормально).

Если в воскресном бекапе будет та же фигня, буду восстанавливать еще более ранний. Но руками это чистить - убитый день.

t_o_x_a, да, да, именно такая штука была. Руками не вариант, порой много файлов заражено, а бэкапы доисторические даже подойдут, так как .js очееень редко меняются.

alex063, кстати в чем может быть причина?

Вирус на компе и хранение паролей в незащищенном виде в фтп-клиенте?

У меня всего пара сайтиков. Я к сожалению не силен в скриптах.

Я так понимаю, что объявление переменной с именем состоящим из рандомного набора буков и цифер , после которого идет много циферок, это и есть зараженный участок файла, который следует удалить. Поправьте если не прав.

VASYA13, именно. Все, что начинается с этой переменной и до конца js-файла следует удалить.

А фиг его знает. Скорее всего это, т.к. ломанули только один аккаунт этого клиента, подозреваю что проблема на его стороне, иначе поломали бы и ещё и других. А вот где он хранит пароли, кому их раздаёт и чем защищается не знаю...

Мой антивирь даже не дал скачать заражённые файлы с фтп на диск.