Вирус на сайте, редирект hopto.me?

Question

[udi]

Внезапно поисковики Google и Yandex признали мой сайт опасным, обнаружив на нём вредоносный код вида

<script type="text/javascript" src="//rdomn1384335904.hopto.me/jquery.js?1384336003" />

. При просмотре содержимого страниц разными браузерами, с разных IP, с разными юзерагентами и реферерами подобных записей найдено не было, в т.ч. в отрендеренном DOM (было подозрение на то, что этот код динамически внедряется каким-то javascript).
При этом поисковики при перепроверках исправно находят этот код и отказываются исключать сайт из "черного списка" завирусованных.
Подскажите, может кто сталкивался с таким? Куда копать, что делать?

Answer 1

[Illusive Echo]

Для начала код сайта на наличие всяких eval, base64, etc.

Comments

[udi]

Спасибо, насчет eval и base64 не подумал, сейчас поищу в коде. Под etc что подразумевается?

[Illusive Echo]

подобные функции.

[udi]

Спасибо, через поиск eval удалось найти залитый шелл

[Illusive Echo]

Рад помочь. :)

Answer 2

[Дмитрий Филатов]

Самое быстрое и простое. Мне помогает в 9 из 10 случаях Выкачиваете все файлы сайта к себе на машину, проверяете Avastом и Cureitом. Они покажут какой файл проблемы и что за код.

Еще проверьте .htaccess

Comments

[udi]

.htaccess проверили, всё в рамках нормы. Cureit просканировал локальную копию - ничего не нашел.

[Illusive Echo]

Копия выкачана была с сайта или оригинальные исходники? Если копия оригинальная, то сравнить с тем, что на сайте. Ну и логи почитать на предмет странных запросов, чтоб понять как внедрили код.

[udi]

Копия выкачанная, оригинальных нет исходников. И очень много изменений по сайту, сравнить с оригинальной CMS уже невозможно.

[Illusive Echo]

тогда искать то, что я посоветовал выше и пытаться понять, что оно делает, если таковые ф-ции найдутся

Answer 3

[mdx]

Удалось удалить вирус? Если да, подскажи плиз как, у меня яндекс нашел такой же вредосный код

Comments

[Illusive Echo]

Решение выше.

[udi]

В ModX хакером был создан плагин Quick ManagerManager. Подробнее тут: http://forums.modx.com/thread/84345/strange-plugin-called-quick-managermanager-showed-up

[mdx]

проверил выкаченный сайт на eval и base64, сравнил все файлы в которых они были найдены с исходниками движка - они абсолютно одинаковые(