хостер как всегда непричем, угнали Ваш ftp|email|CPanel|Plesk|SSh пароль.
Уберечся можно работая с сайтами из под linux, например Ubuntu. Пока всех линуксов на планете не более 2% пользователей(а если учесть еще и фрагментированость системы linux то ноль сотых ноль десятых), интерес хакеров к ней будет минимальный. и вирусы/трояны Вас беспокоить не будут

Сообщение отредактировал sZend - 17.11.2010, 14:01

sZend, ftp,CPanel менял пароли недавно. email,Plesk,SSh вроде непричем они здесь.

Инструкция "Как уберечь свой сайт от вирусов".

Откуда взялся вирус?
Первая мысль конечно будет "Файлы лежат у хостера. В файлах появился вирус. Хостера взломали и мне дописали вирус." и переполненные праведного гнева пишите/звоните в техническую поддержку хостера.
Но Вы далеко не первый и сотрудник хостинга начинает Вам уставшим голосом рассказывать откуда этот вирус.
Анализ возможного заражения привел к парадоксальному результату. Индексные страницы менялись после того, как проводилась авторегистрация сайтов в каталогах с помощью программы AllSubmitter или 1PS.ru. Сами программы, конечно, не виноваты, просто в базе данных находились "зараженные" ссылки. Простая логика говорит о том, что в этих базах находится одна или несколько ссылок на сайты, с которых загружается вирус-троян. Это конечно не единственный путь подхватить троян, но весьма популярный.
Опять же простая логика показывает что регистрируют в каталогах свой сайт как правило создатели сайта и уже после того как сайт размещен на хостинге. А если есть хостинг, то и фтп акаунт есть для подключения и загрузки туда файлов сайта. А учитывая лень-матушку из-за которой фтп пароли сохраняют в фтп-клиенте, почему бы не своровать пароль из фтп-клиента на хостинг? Вот так и думает хакер. И подсадив на Ваш компьютер вирус-троян, похищает пароли и с помощью их уже подключается к серверу хостинг и дописывает в странички вредоносный код.
Хостера винить тут не за что. Взлома не было, перебора паролей не было. Просто к фтп подключился и ввел пароль с первого раза клиент. Вот так это выглядит со стороны хостингового сервера.

Что делать?
Нижеописанное делать только после проверки локального компьютера на вирусы!!!
Во-первых: Немедленно сменить пароль на фтп акаунт.
Во-вторых: Немедленно сменить пароли на подключения к базе, почтовым ящикам, логины и пароли, которые хранились в конфигурационных файлах (хакер мог их уже посмотреть).
В-третих: Перезалить _все_ файлы из бекапа. Именно все. Вирус могли подсадить не только на самом видном месте файла, но и где то глубже спрятать.
При отсутствии бекапа просите хостера восстановить. Именно просите, а не требуйте. И это должно быть просьбой, а не требованием ибо проблема это Ваша и хостер только по доброте душевной берется её решить.

Как сделать чтобы не повторилось?
Во-первых: Ставьте антивирусы!!! Они помогают. Не всегда, но помогают.
Во-вторых: Если выходите в интернет с определенного количества айпи адресов, то попросите хостера ограничить подключение по фтп вашему акаунту только с этих айпи.
Заражают Ваши файлы в основном с азиатских зараженных компьютеров, поэтому ограничение подключения только с украинских провайдеров уже поможет. А более точное ограничение сведет усилия хакеров почти на ноль.
В-третих: Не сохраняйте пароли в фтп-клиентах. Они уязвимы и своровать оттуда пароль очень легко. Пишите пароль на бумажечке и храните эту бумажечку в сейфе( ну или под матрасом если сейфа нет ).
В-четвертых: !Регулярно! проверяйте файлы своего сайта.

А не правильно выставленные права на папки разве не могут быть причиной заливания на сайт вируса? Думаю да. Думаю стоит посмотреть правильность установки прав доступа на папки сайта. Причина часто бывает в этом. Не спорю, что и причина может быть как и описано в Вашей статье.

Сообщение отредактировал Prizrak - 17.11.2010, 14:41

Спёрли доступ из ФТП клиента, стоял Каспер 2009 и не среагировал на трояна,а КИС 2010 очень быстро трояна нашёл и теперь только с флешки (портабл) и очистка истории просмотра.
А в 3.0 Вордпрессе фтр доступ как бы и не нужен?

xoster, спасибо вам за столько информации, но вы пишите точно как мой хостер. Я все это сделал: смена всех паролей, закачка файлов и проверка антивирусом, у меня стоят антивирусы(дома каспер, на работе тоже каспер(работает через прокси), а локально стоит нод и аваст).
ФТП доступ практически не пользуюсь, и пароли не храню на компе, так как комп рабочий и может и начальник за него часок поработать.
Я не думаю что смог бы сам вирус загрузить.

Prizrak, все права на папки проверял, все в норме.

Самый просто и актуальный совет!
1) Не ставить левый шаблоны
2) Не ставить левые NUlled скрипты!
Так как в обоих случаях, вам могу запихнуть в код Shell и в дальнейшем просто манипулировать сайтом, без всяких ваших паролей(менять их в этом случае смысла нет)

Для начала проверьте папки на странные файлы еще, может уже давно у вас шелл лежит.

sdrc26, скрипты левых нету. А шаблоны есть, хотя когда впервые появилась такая папка, то никаких левых шаблонов небыло, был только мною созданный с нуля сайт.
Ответ хостера:Это скорее всего происходит при помощи каких-то уязвимостей в конфигурационном файле Вашего сайта.
Ковыряю все подряд)