На сайте появился тороян Trojan-Downloader.JS.JScript.at

draff

Гуру
5801
434 / 7
ищу работу

Re: На сайте появился тороян Trojan-Downloader.JS.JScript.at

« Ответ #30 : 06.04.2012, 16:36:23 »

п.1 Нет смысла,дописывается в каждый файл .js
п.2 Очень хорошо.Если бекап в архиве.Если бекап просто в файлах,то и бекап на хостинге с тем же кодом.
3. Не факт,что не нужно потом переустанавливать расширения

Записан

Удалю вирус с сайта. Обновление Joomla!, JoomShopping, Virtuemart Интеграция Retailcrm | Отзывы

AlexTT

Осваиваюсь на форуме
15
0 / 0
phpbb3 admin

Re: На сайте появился тороян Trojan-Downloader.JS.JScript.at

« Ответ #31 : 06.04.2012, 16:56:38 »

Цитировать

Totalcommand'ом поискать по дате

так зачем искать - говорю же, заражены ВСЕ js файлы. Все. И только они, никаких других зараженных нет.

Цитировать

Если файлов не много, то скопировать и убрать в конце код типа "var d7b0c8="";function lc685ab889(){var ......"

файлов больше 1000, читайте выше.. какой код удалять тоже известно, просто вручную удалять тысячи файлов (2 зараженых сайта) как-то не алло )))

Цитировать

Восстановить бэкап =)

был бы бэкап - не задавал бы вопросов )) нету, к сожалению..

Цитировать

Перезалить файлы дистрибутива Joomla

угу, а еще и с сотню дистрибутивов плагинов+компонентов+модулей, которые к тому уже некоторые уже модифицированы вручную..

Записан

Process

Осваиваюсь на форуме
11
1 / 0

Re: На сайте появился тороян Trojan-Downloader.JS.JScript.at

« Ответ #32 : 07.04.2012, 13:48:13 »

Попробуйте такое решение.
=======================================
Если у вас есть навыки работы в unixshell, и ваш тарифный план позволяет подключиться к unixshell, то данный вирус можно очень быстро удалить из всех js файлов:
find . -type f -name "*.js" | xargs -n 1 sed -i.bak 's/^var.*Array.prototype.slice.call.*arguments.*join.*try{throw.*//g'
find . -type f -name "*.bak" -delete

Первой командой мы ищем файлы js, список файлов пропускаем через строчный редактор sed, который удаляет строку с вирусом по заданному куску кода, характерному для этого вируса.
Второй командой мы удаляем резервные копии js файлов, образовавшиеся в результате работы редактора sed.
Не забудьте поменять пароли к ftp и проверить компьютеры, с которых велась работа с этими ftp логинами, на вирусы!

Записан

Grog221

Захожу иногда
79
0 / 0

Re: На сайте появился тороян Trojan-Downloader.JS.JScript.at

« Ответ #33 : 08.04.2012, 21:18:13 »

Господа, доброго времени суток!
Подцепил JS.Siggen.192, как быть? Тоже все js заражены?

Записан

oriol

Завсегдатай
1042
100 / 4

Re: На сайте появился тороян Trojan-Downloader.JS.JScript.at

« Ответ #34 : 08.04.2012, 22:10:23 »

К первой строке можно добавить сигнатуры

Код

find . -type f -name "*.js" | xargs -n 1 sed -i.js2b -e 's/^var.*Array.prototype.slice.call.*arguments.*join.*try{throw.*//g' -e 's/^d=Date;d=new d();h=-parseInt(.012.).*//g' -e 's/^.*;}function .*(.*){return (.*)\[.*\](0);}.*$//g'

Записан

dim66

Осваиваюсь на форуме
49
4 / 0

Re: На сайте появился тороян Trojan-Downloader.JS.JScript.at

« Ответ #35 : 09.04.2012, 14:37:21 »

на моём сайте тоже троян...все .js файлы заражены. Я восстановил чистые js-ы из бэкапа а потом установил на них права 444. Как думаете поможет?

Записан

Marques

Завсегдатай
1410
190 / 9
Ctrl+F5

Re: На сайте появился тороян Trojan-Downloader.JS.JScript.at

« Ответ #36 : 09.04.2012, 14:42:25 »

Нет, ибо нужно найти сначала как они смогли туда попасть. А 444 поставили на js - хорошо, через некоторое время будете удалять вирусы уже из php файлов. Так что ищите дыру через которую они пролезли.

Записан

Зануда перфекционист, не признающий авторитетов, ищет легкую работу за большие деньги - http://dtkp.ru/ s@dtkp.ru