deactivatedtheelephant

Я столкнулся с подобным вирусом на сайте клиента. Причем он был полиморфный!
Убил на гадость 4 часа времени, вычислял его «копии» и добавлял в скрипт который ходил по дереву и удалял. Где то 20-30 разных сигнатур получилось.

Практика показывает, что чаще всего встречается третий вариант, $p $a и конечно же $c.
Мать их за ногу!