Как вылечить вредоносный код?

Question

[mrfatis]

На сайте(wordpres) recmovie.ru появилась какая-то странная строка поиска с возможность вписывать свое значение. По тапу на "искать" перенаправляет на go.mail.ru


Попытки найти эти зловещие строчки кода успехом не увенчались, но вот что удалось выяснить:
217.118.92.254:8080/scripts/toolbar.js - собственно сам скрипт.

recmovie.ru/00214.js - дубликат.

Расположение в коде


Видно только при маскировке под мобильный девайс и загрузке страницы через мобильный интернет.
Если кто-то имел дело с подобный, поделитесь советом. Ну, или дайте наводку в какую сторону смотреть.

Answer 1

[justabaka]

habrahabr.ru/post/257133 :)

Comments

[mrfatis]

Да, спасибо, уже читал. Билайн конечно дали повод поволноваться, но с другой стороны при поисках на сайте был найден сторонний скрипт.

Answer 2

[Roman]

Сканер AI-Bolit тебе поможет.

Answer 3

[Саша Улыч]

плюсую за aibolit, реально помогает. только хостинг не потянул, пришлось на локалке проверять. если вчитаться в отчет то можно понят где уязвимость была и прикрыть её. у нас на сайтах проблема в старой версии слайдера была: revolution slider. из-за чего загружали вредоносный код

Answer 4

[Владимир Мартьянов]

Переставляйте с чистой копии. Остальное - игра в лотерею, ибо 100% гарантии ни один АВ не дает.