Левый js в коде, откуда?

12 3
ИА
На сайте с 12.02.2014
Offline
63
12606

Доброго всем, вчера заметил у себя на сайте такую байду. 2 скрипта, один в голове, другой в подвале.

Сайт около 2 000 страниц, но код, пока что, выявил только на одной. Сделан не на CMS, но с применением ПХП.

Сам в js не силен, если кто разбирается и кому интересно, то вот код из головы:

<script type="text/javascript">window.NREUM||(NREUM={}),__nr_require=function t(n,e,o){function r(a){if(!e[a]){var i=e[a]={exports:{}};n[a][0].call(i.exports,function(t){var e=n[a][1][t];return r(e?e:t)},i,i.exports,t,n,e,o)}return e[a].exports}for(var a=0;a<o.length;a++)r(o[a]);return r}({D5DuLP:[function(t,n){function e(t,n){var e=o[t];return e?e.apply(this,n):(r[t]||(r[t]=[]),void r[t].push(n))}var o={},r={};n.exports=e,e.queues=r,e.handlers=o},{}],handle:[function(t,n){n.exports=t("D5DuLP")},{}],G9z0Bl:[function(t,n){function e(){var t=d.info=NREUM.info;if(t&&t.agent&&t.licenseKey&&t.applicationID){d.proto="https"===c.split(":")[0]||t.sslForHttp?"https://":"http://",i("mark",["onload",a()]);var n=u.createElement("script");n.src=d.proto+t.agent,u.body.appendChild(n)}}function o(){"complete"===u.readyState&&r()}function r(){i("mark",["domContent",a()])}function a(){return(new Date).getTime()}var i=t("handle"),s=window,u=s.document,p="addEventListener",l="attachEvent",c=(""+location).split("?")[0],d=n.exports={offset:a(),origin:c,features:[]};u[p]?(u[p]("DOMContentLoaded",r,!1),s[p]("load",e,!1)):(u[l]("onreadystatechange",o),s[l]("onload",e)),i("mark",["firstbyte",a()])},{handle:"D5DuLP"}],loader:[function(t,n){n.exports=t("G9z0Bl")},{}]},{},["G9z0Bl"]);</script><script type="text/javascript">window.NREUM||(NREUM={}),__nr_require=function t(n,e,o){function r(a){if(!e[a]){var i=e[a]={exports:{}};n[a][0].call(i.exports,function(t){var e=n[a][1][t];return r(e?e:t)},i,i.exports,t,n,e,o)}return e[a].exports}for(var a=0;a<o.length;a++)r(o[a]);return r}({D5DuLP:[function(t,n){function e(t,n){var e=o[t];return e?e.apply(this,n):(r[t]||(r[t]=[]),void r[t].push(n))}var o={},r={};n.exports=e,e.queues=r,e.handlers=o},{}],handle:[function(t,n){n.exports=t("D5DuLP")},{}],G9z0Bl:[function(t,n){function e(){var t=d.info=NREUM.info;if(t&&t.agent&&t.licenseKey&&t.applicationID){d.proto="https"===c.split(":")[0]||t.sslForHttp?"https://":"http://",i("mark",["onload",a()]);var n=u.createElement("script");n.src=d.proto+t.agent,u.body.appendChild(n)}}function o(){"complete"===u.readyState&&r()}function r(){i("mark",["domContent",a()])}function a(){return(new Date).getTime()}var i=t("handle"),s=window,u=s.document,p="addEventListener",l="attachEvent",c=(""+location).split("?")[0],d=n.exports={offset:a(),origin:c,features:[]};u[p]?(u[p]("DOMContentLoaded",r,!1),s[p]("load",e,!1)):(u[l]("onreadystatechange",o),s[l]("onload",e)),i("mark",["firstbyte",a()])},{handle:"D5DuLP"}],loader:[function(t,n){n.exports=t("G9z0Bl")},{}]},{},["G9z0Bl"]);</script>

...И из подвала:

<script type="text/javascript">window.NREUM||(NREUM={});NREUM.info={"beacon":"beacon-6.newrelic.com","licenseKey":"6258ee1469","applicationID":"3452825","transactionName":"NVYBZkYCChZZAkBeWQwcNkBdTAIMVARZVlhNWg1WURtKFVAR","queueTime":0,"applicationTime":62,"ttGuid":"","agentToken":"","userAttributes":"","errorBeacon":"jserror.newrelic.com","agent":"js-agent.newrelic.com\/nr-378.min.js"}</script><script type="text/javascript">window.NREUM||(NREUM={});NREUM.info={"beacon":"beacon-6.newrelic.com","licenseKey":"6258ee1469","applicationID":"3452825","transactionName":"NVYBZkYCChZZAkBeWQwcNkBdTAIMVARZVlhNWg1WURtKFVAR","queueTime":0,"applicationTime":71,"ttGuid":"","agentToken":"","userAttributes":"","errorBeacon":"jserror.newrelic.com","agent":"js-agent.newrelic.com\/nr-378.min.js"}</script>

Просто уже интересно, как он туда попал, CMS - нет, MySQL баз - нет, внешние скрипты не установлены. И что он делает?

P.S. Удалил - появился снова, опять удалил, больше, пока, не появляется.

S
На сайте с 10.04.2014
Offline
21
#1

Данная проблема была замечена сегодня с утра, этот код прописывается в любой файл любого сайта на хостинге. CMS значения не имеет, ибо путём простого удаления элементов было замечено, что код прописывается лишь в те файлы, которые содержат html-теги <head> (прописывается первый код) и </body> (прописывается второй код). Если отсутствует один из этих элементов, то прописывается лишь один код.

Код прописывается в любой свежесозданный файл с любым расширением, главное, что бы были вышеуказанные html-теги (Если их нет, то код не прописывается).

Проблема была замечена на хостинге Timeweb. Как удалить это "чудо" тоже не знаю, ибо не шарю в JS, да и вообще в программировании.

LEOnidUKG
На сайте с 25.11.2006
Offline
1723
#2

Ну и какой сайт и какой хостинг?

Вы оба клоны что-ли?

✅ Мой Телеграм канал по SEO, оптимизации сайтов и серверов: https://t.me/leonidukgLIVE ✅ Качественное и рабочее размещение SEO статей СНГ и Бурж: https://getmanylinks.ru/
S
На сайте с 10.04.2014
Offline
21
#3

LEOnidUKG, так я же отписал, что хостинг Timeweb.ru, заражаются файлы со следующими данными: <head> (сразу после него прописывается первый код из первого сообщения) и </body> (сразу до него прописывается второй код из первого сообщения).

Только что получил данные от знакомого сайты которого так же располагаются на Timeweb - у него такая же проблема. Значит заражены все сайты на этом хостинге.

Проверил сайты на Beget, там всё чисто.

draff
На сайте с 30.03.2010
Offline
65
#4
Shihal:
Проблема была замечена на хостинге Timeweb.

А хостеру написать.Это ж не первый случай уязвимости хостинга timeweb

Удалю вирус с сайта Джумла! (http://joomlaforum.ru/index.php/topic,254903.0.html)
ИА
На сайте с 12.02.2014
Offline
63
#5

Shihal, аналогично, хостинг Timeweb.

У меня первый скрипт прописался между МЕТА, второй, да, перед закрывающим BODY. Но только на одной странице, причем добавлена она была недели 1-2 месяца назад. Удалил, пока что не появилось. Проверил свежедобавленные страницы - чистые. Второй сайт на этом же хостинге тоже чистый пока.

Да, скину в ТП эти скрипты, посмотрю, что ответят.

I
На сайте с 10.04.2014
Offline
58
#6

Илья Артурович, аналогичная проблема, как именно Вы удалили?

S
На сайте с 10.04.2014
Offline
21
#7

Илья Артурович, констатирую: похоже все сайты на хостинге Timeweb заражены. Не знаю, коснулось ли это всех серверов, или только виртуальных, но проблема уже у 3-х пользователей и свыше чем на 10-и сайтах. Посмотрел сайты на других хостингах, всё чисто.

Создаю новый файл, прописываю там эти теги, закрываю, открываю и вуаля, скрипты там уже прописаны.

В службу поддержки отписал, жду ответа.

п.с. во мы попали...

ИА
На сайте с 12.02.2014
Offline
63
#8

Shihal, отпишитесь, если не трудно, что ТП ответит. Сам только что им написал, тоже жду ответа.

Infor, удалил через ПУ, зашел в файловый менеджер, нашел ту страницу и очистил ее.

Интересно, что делает этот скрипт...? Вроде никаких изменений не замечено...

I
На сайте с 10.04.2014
Offline
58
#9

Илья Артурович, вроде больше не появляется?

S
На сайте с 10.04.2014
Offline
21
#10

Цитирую ответ от ТП:

Здравствуйте.

Об ошибке известно, в ближайшее время она будет устранена. До ее решения, пожалуйста, не используйте файловый менеджер для редактирования файлов.
12 3

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий