ТРОЯН

Добрый день,
многие .js файлы заражены… если их чистить вручную, то на следующий день они опять с вредным кодом "грязные".
они правятся каким то скриптом, который лежит в одном из файлов сайта. сам скрипт (троян) найти не удается
Подскажите пожалуйста — как его искать

антивирус его не видит

Сравнить файлы с дистрибутивом, winmerge

бекап файлов есть? так проще всего)

Уууу.в индекс.пхп посмотри, может какой то левый скрипт.И дизайн если ставил другой, он может быть заражён.смени ради теста.

надо искать не то что изменено, а то через что меняли. либо шелл залит, либо пароли от фтп ушли (что наиболее вероятно)

Что делает-то вирусяга!?

Ленивый, сказано же, заражает js файлы

я понял, что заражает js файлы, но приводит это к чему? Как это проявляется?

1. Сравнить файлы с дистрибутивом.
Ничего не даст, потому что скрипт скорее всего дописан в уже существующем файле. нужно проверять каждый.
2. Бекап.
Не известно — как давно троян сидит в папках. + Востановление — сложный путь, потому что очень много доработок и изменений пользователями.
3. надо искать не то что изменено, а то через что меняли. либо шелл залит, либо пароли от фтп ушли.
Пароли сменены, доступы поправлены. Скорее всего шелл, вот только как его найти… это вопрос. Если открывать и проверять каждый файл на предмет посторонних кодов — уйдут месяцы.
4. Что делает-то вирусяга!?
Пытается открывать другие сайты во фрейме главной страницы… а так еще куча побочного говна.

Я просто думал, может кто то с таким сталкивался… подскажет как искать

1. Сравнить файлы с дистрибутивом.
Ничего не даст, потому что скрипт скорее всего дописан в уже существующем файле. нужно проверять каждый.
2. Бекап.
Не известно — как давно троян сидит в папках. + Востановление — сложный путь, потому что очень много доработок и изменений пользователями.
3. надо искать не то что изменено, а то через что меняли. либо шелл залит, либо пароли от фтп ушли.
Пароли сменены, доступы поправлены. Скорее всего шелл, вот только как его найти… это вопрос. Если открывать и проверять каждый файл на предмет посторонних кодов — уйдут месяцы.
4. Что делает-то вирусяга!?

К чему тогда этот пост?
Тогда нужно было просто написать — я сам ничего делать не хочу, сделайте все за меня!

на моем хостинге в техподдержке сказали, что ата проблемма массового характера
что очень много обращений за последние дни
вдруг кто то тоже подвергся атаке

Евгений, нет универсального способа удаления троянов, на вашем хостинге ведь не только instantcms стоит, хотя если массово то может дырка в настройках демонов, но в любом случае не обойдетесь без проверки всех ваших файлов на предмет изменения.

Евгений,

1. Сравнить файлы с дистрибутивом. Ничего не даст, потому что скрипт скорее всего дописан в уже существующем файле. нужно проверять каждый.

Хотите, я вам смержу весь ваш сайт за 5 мин с офф дистрибутивом, и вышлю все отличия в файлах, а так же установлю скрипт, который в дальнейшем будет по крону все это делать и слать на почту все изменения?
Пишите в личку.
Это я к тому, что ничего в этом сложного нет ))

спасибо. решено