Virustotal показывает вредоносный сайт, всё чисто

Здарова.

Очень нужен хелп. Хостер пишет что к нему поступают жалобы на то, что мой сайт вредоносный. Типа, если ещё одна жалоба, то сайт будет немедленно отключён((

Сообщение такого плана:

Здравствуйте.

Поступили жалобы на распространение вирусов с Вашего сайта it-like.ru.

Пожалуйста, решите проблему с антивирусами, которые детектируют сайт вредоносным.

https://www.virustotal.com/en/file/c96e66f4b8192d35b4e8eb168717615d172a9ab1c7451bc4c7a22ae11fbc2f2e/analysis/

К сожалению, мы будем вынуждены приостановить работу Вашего сайта в том случае,

если поступит еще одна подобная жалоба, так как это негативно влияет на нашу репутацию.

====

> Dear abuse team,

>

> please have a look on these perhaps offending viruses sites(1) so far.

>

> Notice: We do NOT urge you to shutdown your customer, but to inform him about a

> possible infection/misbehavior !

>

> status: As of 2015-09-04 04:12:10 CEST

>

> Please preserve on any reply our Subject:

> [clean-mx-viruses-80762731](77.120.103.72)-->(abuse@dc.volia.com) viruses sites (1

> so far) within your network, please close them! status: As of 2015-09-04

> 04:12:10 CEST

>

>

> http://support.clean-mx.de/clean-mx/viruses.php?email=abuse@dc.volia.com&response=alive

>

> (for full uri, please scroll to the right end ...

>

> This information has been generated out of our comprehensive real time database,

> tracking worldwide viruses URI's

>

> If your review this list of offending site(s), please do this carefully, pay

> attention for redirects also!

> Also, please consider this particular machines may have a root kit installed !

> So simply deleting some files or dirs or disabling cgi may not really solve the

> issue !

>

> Advice: The appearance of a Virus Site on a server means that

> someone intruded into the system. The server's owner should

> disconnect and not return the system into service until an

> audit is performed to ensure no data was lost, that all OS and

> internet software is up to date with the latest security fixes,

> and that any backdoors and other exploits left by the intruders

> are closed. Logs should be preserved and analyzed and, perhaps,

> the appropriate law enforcement agencies notified.

>

> DO NOT JUST DELETE THE FILES. IF YOU DO NOT FIX THE SECURITY

> PROBLEM, THEY WILL BE BACK!

>

> You may forward my information to law enforcement, CERTs,

> other responsible admins, or similar agencies.

>

> +-----------------------------------------------------------------------------------------------

>

> |date |id |virusname |ip |domain |Url|

> +-----------------------------------------------------------------------------------------------

> |2015-09-04 03:40:13 CEST |80762731 |LooksLike.JS.Redirector.nt (v) |77.120.103.72

> |it-like.ru |http://it-like.ru/

> +-----------------------------------------------------------------------------------------------

>

>

> Your email address has been pulled out of whois concerning this offending network

> block(s).

> If you are not concerned with anti-fraud measurements, please forward this mail to

> the next responsible desk available...

>

>

> If you just close(d) these incident(s) please give us a feedback, our automatic

> walker process may not detect a closed case

>

> explanation of virusnames:

> ==========================

> unknown_html_RFI_php not yet detected by scanners as RFI, but pure php code for

> injection

> unknown_html_RFI_perl not yet detected by scanners as RFI, but pure perl code for

> injection

> unknown_html_RFI_eval not yet detected by scanners as RFI, but suspect javascript

> obfuscationg evals

> unknown_html_RFI not yet detected by scanners as RFI, but trapped by our honeypots

> as remote-code-injection

> unknown_html not yet detected by scanners as RFI, but suspious, may be in rare

> case false positive

> unknown_exe not yet detected by scanners as malware, but high risk!

> all other names malwarename detected by scanners

> ==========================

>

>

> yours

>

> Gerhard W. Recher

> (CTO)

>

> net4sec UG (haftungsbeschraenkt)

>

> Leitenweg 6

> D-86929 Penzing

>

> GSM: ++49 171 4802507

>

> Geschaeftsfuehrer: Martina Recher

> Handelsregister Augsburg: HRB 27139

> EG-Identnr: DE283762194

>

> w3: http://www.clean-mx.de

> e-Mail: mailto:abuse@clean-mx.de

> PGP-KEY: Fingerprint: A4E317B6DC6494DCC9616366A75AB34CDD0CE552 id: 0xDD0CE552

> Location: http://www.clean-mx.de/downloads/abuse-at-clean-mx.de.pub.asc

Это второе сообщение. Первое было такое же, указали мне на скрипт сервиса Tynt.com, убрал. Снова пишут что сайт вредоносный. Дело в том, что я пробовал закрыть доступ к сайту отовсюду, но при этом вирустотал всё равно пишет что сайт вредоносный. Стало быть информация берётся из каких-то баз, где информация могла устареть.

Сканировал сканером DrWeb онлайн, проверял копию Нодом, запускал Манул, Ай-Болит - всё нормально. С сайтом давно не делалось никаких изменений, сравнил копию с давним бэкапом - ничего нового. Я не знаю механизм как это всё определяется. Знающие подскажите пож-та куда копать, кому писать?

Что это за "вирус" LooksLike.JS.Redirector.nt (v) и как проверить сайт этими антивирусами AVware и VIPRE?