VBS/Psyme trojan при работе в админке WordPress

[borber]

Добрый день/ночь.

При входе в аминпанель блога Wordpress McAfee выдает сообщение, что удален троян VBS/Psyme - файл load-script[3].php в папке Temporary Internet Files. Такое сообщение выдается при открытии каждой новой страницы админки. На странице виджетов ни один виджет не открывается, все остальное работает (редактирование страниц-постов). То, что не работает страница виджетов, очень плохо для меня, так как тема вордпресса такая, что контент home page может редактироваться только через виджеты... Сам сайт работает вроде нормально.
На моем компе антивирус (McAfee) ничего не находит. При работе в админках других сайтов с Wordpress все нормально.
Попробовал найти инфу в интернете - пишут, что скорее всего сайт взломан и где-то есть iframe с редиректом. Но я нигде в коде iframe найти не смог.
Как спасаться? Заранее спасибо за любые советы.

[borber]

Уважаемые хелперы! Неужели никакого совета ни от кого? Помогите, пожалуйста!

[Acidorum]

Здравствуйте!
Пожалуйста, сделайте логи по правилам.

[borber]

AVP tool ничего не изменил.
Логи.

[borber]

Уважаемые хелперы, вроде бы я все сделал по правилам? Кто-то, вижу, смотрел вложения, но ничего не ответил... Все так плохо, что лучше мне не знать?

[Acidorum]

Ничего подозрительного.
Сделайте лог MBAM.

[borber]

Лог MBAM.

[Acidorum]

Удалите в MBAM:

Registry Keys Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} (Adware.MyCentria) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FFFC57DB-1DE3-4303-B24D-CEE6DCDD3D86} (Adware.MyCentria) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\MyCentria (Adware.MyCentria) -> No action taken.

Registry Data Items Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowControlPanel (PUM.Hijack.StartMenu) -> Bad: (0) Good: (1) -> No action taken.

Folders Infected:
c:\program files\FieryAds (Adware.Adware.FearAds) -> No action taken.
c:\program files\mycentria (Adware.MyCentria) -> No action taken.
c:\program files\mycentria\Firefox (Adware.MyCentria) -> No action taken.
c:\program files\mycentria\InfoBar (Adware.MyCentria) -> No action taken.

Files Infected:
c:\documents and settings\Boris\application data\thinstall\articlecopymaster\300000001700002i\MDM.EXE (Trojan.Agent) -> No action taken.
c:\program files\php expert editor\phpxedit.exe (Rogue.FakeMSE) -> No action taken.
c:\documents and settings\Boris\local settings\temporary internet files\pse_350_rus.exe (Trojan.Agent) -> No action taken.
c:\program files\FieryAds\fieryadsuninstall.exe (Adware.Adware.FearAds) -> No action taken.

Сделайте повторный лог MBAM.

[borber]

Уважаемый hedgars, я делаю то, что Вы сказали. Но скан занял больше 7 часов, и сейчас будет 2 раза по столько...
Описанная проблема повторилась при входе в админку того же сайта с другого компьютера: сначала все там было нормально и я решил, что, видимо, действительно инфицирован первый комп. Но при втором подходе на втором компе возникла точно та же проблема - сообщение McAfee об удалении трояна VBS/Psyme при загрузке каждой новой страницы в админке (только в админке, сам сайт работает тьфутьфутьфу нормально), и не открываются виджеты.
Я проверил сайт онлайн-проверяльщиками - ни один ничего плохого не сказал.
Пока оно сканируется - может быть, Вы или кто-то еще скажете что-то об этом? Не свидетельствует ли описанное о заражении сайта и как в этом удостовериться?
Заранее большое спасибо за чтение этих многих букв. )

[borber]

Лог MBAM после удаления указанных строк.

[borber]

Лог MBAM после повторной проверки после удаления указанных строк.
К сожалению, проблема осталась.

[borber]

Все, стало быть? Больше не делать логов и советов не последует?
Ну все равно спасибо за попытку...

[Шапельский Александр]

Попробовал найти инфу в интернете - пишут, что скорее всего сайт взломан и где-то есть iframe с редиректом. Но я нигде в коде iframe найти не смог.

Ищите в коде подозрительные VBS или ссылки на них.

[borber]

То есть стало быть все-таки это сайт заражен. Спасибо...

[Шапельский Александр]

То есть стало быть все-таки это сайт заражен.

Думаю, что да. Потому как:

При входе в аминпанель блога Wordpress McAfee выдает сообщение, что удален троян VBS/Psyme - файл load-script[3].php в папке Temporary Internet Files.

Ищите в коде vbs скрипт. Затем смените пароли.

[borber]

Попробуем поискать... Спасибо!