Уважаемые форумчане! Проблема такая - на моём форуме (версия 3.6.4) вирус. Как попал туда - хз, видимо дыра в скрипте, т.к. по фтп туда 100 лет не лазили.
Сообщение НОД32 прикрепляю.
Кто что знает про это и знает как от него избавиться и не допустить повторного заражения - просьба отзовитесь, объясните.
Можно в личку с переходом в аську. Отблагодарю WMZ, нужно достаточно оперативно сделать или объяснить.

Заранее спасибо.

Собсно картинка

Да, заточен вирус для ИЕ...

а когда это сообщение выскакивает?

Троян у тебя на компе или у того, кто еще имеет доступ к фтп и хранит пароли входа в программе типа ТоталКоммандер.

Нужно избавляться от трояна на компе, когторый передает пароли к аккаунту кому надо. А тот уже затроянивает сайт через фтп.

Потом сменить все пароли, включая icq и почту.

Потом очистить индексные файлы сайта от введенного туда кода трояна.

http://installare.net/e/ii.php хм.. интересно интересно..)) там ваще ГИФ но при его открытии чёто видим

This program cannot be run in DOS mode.

Это уже настораживает)
+ в нем 4 файла и упакован он PEcompactom имя banner851.. на компе этот файл неоткрывается.. при переименовке в .ехе запускается при этой создаёт бат файл следующего содержания:

:Retry
del "C:\Documents and Settings\admin\Рабочий стол\banner851.exe"
if exist "C:\Documents and Settings\admin\Рабочий стол\banner851.exe" goto Retry
del "C:\Documents and Settings\admin\Рабочий стол\banner851.bat"
exit

...

З.Ы. Викуся стукни мне в асю!! 660777 стукай

Добавлено через 40 секунд
А ваще это мсдосовский вирус...))

Добавлено через 9 минут
И чуть не забыл.. результат проверки вируса на вирустотале:

AhnLab-V3 2007.10.5.2 2007.10.05 -
AntiVir 7.6.0.20 2007.10.05 TR/Crypt.PEC2X.Gen
Authentium 4.93.8 2007.10.05 -
Avast 4.7.1051.0 2007.10.05 -
AVG 7.5.0.488 2007.10.05 -
BitDefender 7.2 2007.10.05 -
CAT-QuickHeal 9.00 2007.10.05 (Suspicious) - DNAScan
ClamAV 0.91.2 2007.10.05 -
DrWeb 4.44.0.09170 2007.10.05 Trojan.MulDrop.origin
eSafe 7.0.15.0 2007.10.04 Suspicious Trojan/Worm
eTrust-Vet 31.2.5188 2007.10.05 -
Ewido 4.0 2007.10.05 -
FileAdvisor 1 2007.10.05 -
Fortinet 3.11.0.0 2007.10.05 -
F-Prot 4.3.2.48 2007.10.05 -
F-Secure 6.70.13030.0 2007.10.05 -
Ikarus T3.1.1.12 2007.10.05 Trojan.Win32.Agent.qt
Kaspersky 7.0.0.125 2007.10.05 -
McAfee 5134 2007.10.04 -
Microsoft 1.2803 2007.10.04 -
NOD32v2 2574 2007.10.05 -
Norman 5.80.02 2007.10.05 -
Panda 9.0.0.4 2007.10.05 Suspicious file

Мы видим чтт некоторые авири ругаются.. значит это все таки вирус..

З.Ы. 660777 ^^

Originally Posted by КотЪ

Троян у тебя на компе или у того, кто еще имеет доступ к фтп и хранит пароли входа в программе типа ТоталКоммандер.

Нужно избавляться от трояна на компе, когторый передает пароли к аккаунту кому надо. А тот уже затроянивает сайт через фтп.

Потом сменить все пароли, включая icq и почту.

Потом очистить индексные файлы сайта от введенного туда кода трояна.

Проблема в том, что никаких программ типа тотэлкоммандер паролей на форумы не содержат. На форум по фтп лазили более месяца назад и сразу же потом пароли из программы были удалены. А проблема с вирусом появилась позовчера.

Добавлено через 2 минуты
Scr1pt, добавила.
p.s. Через мозилу смотрю - вообще кода инородного не видно :(

Originally Posted by Викуся

p.s. Через мозилу смотрю - вообще кода инородного не видно :(

Посмотри конструкции вроде <iframe>...</iframe>.

Ты мне скажи чё ваще это за папка? http://installare.net/e/
Если ты её незнаешь и в ней лежат какие то левые файлы удали её ваще подальше..
Смени пароль от фтп и тп..

Посмотри конструкции вроде <iframe>...</iframe>.

Может быть ещё код типа:

<script language="JavaScript"> eval(unescape("document.write%28String.fromCharCode%(тут закодированный фрейм)")); </script>

А вообще залезь на фтп и посмотри чё у тя там твориццО

Добавлено через 1 минуту
Оффтоп... Winner, какая переменная отвечает за вывод статуса в репутации например

Гуру

или

Новичок

Originally Posted by Scr1pt

Ты мне скажи чё ваще это за папка? http://installare.net/e/

Я бы с радостью сказала, но к сожалению сайт http://installare.net не мой, а видимо тот откуда эта хрень непонятная подгружается :(
Проблема всё ещё актуальна, помогите плиз :(