Как убить Трояна?

AdmninsCluba · Сообщение **AdmninsCluba** » 12.05.2007 16:23

обнаружено: троянская программа Trojan-Downloader.VBS.Small.dh

Почистил файл - index.php. Не помогло. Что надо сделать чтобы найти и убить скрипт?

Спасибо.

ОТВЕТ:
- проверяемся на вирусы
- меняем ВСЕ пароли и не храним их в FTP-клиенте.
- чистим файлы Index.* или заливаем из бэкапа.

http://virusinfo.info/pravila.html

Kate admin · Сообщение **Kate admin** » 26.01.2008 17:35

crash писал(а):знаете что такое shared хостинг?

Да.

У меня dedicated server и я эгоистично думаю только о своем форуме.

8)

Добавлено спустя 30 секунд:

Палыч писал(а):Речь шла о другом пользователе вашего сервера, если вы этого не поняли.

А, спасибо, действительно не поняла. :-)

Krolist · Сообщение **Krolist** » 28.01.2008 4:30

Вы что думаете что это дыры в форумах??
Я уверен, что это не так!!
Я за последний год столкнулся с несколькими модификациями этого вируса.

Сейчас схватил его в очередной раз.

Но в этот раз я решил разобраться откуда он пришел!!

Догадываюсь как он действует. Вот несколько фактов.

1) прописывается всегда когда присутствует тег <body> или </body>
2) попадает на сервер через мой комп.
3) вирус состоит из нескольких составляющих файлов. То что мы видим в html'ках или php'шках - это уже результат
4) о дыре в скриптах не может быть речи, потому что все мои скрипты написаны мной, а вирус на многих сайтах...

Теперь мне предстоит узнать 2 вещи:
1) как он попал на мой комп
2) как он попал на сервер сайта

Кстати, мои файлы сайта на компе чистенькие, а на сервере уже с вирусом...

Добавлено спустя 2 минуты 20 секунд:

Придумал как можно проверить то, что он выходит с моего компа на сервер...

Нужно использовать снифер. Обожаю сниферить ))

crash · Сообщение **crash** » 28.01.2008 4:38

Krolist писал(а):прописывается всегда когда присутствует тег <body> или </body>

не помнючтобы в index.php было body.

Krolist писал(а):о дыре в скриптах не может быть речи, потому что все мои скрипты написаны мной

это не показатель.

Krolist писал(а):как он попал на сервер сайта

возможно по фтп.

Krolist писал(а):как он попал на мой комп

а это выясните.

GVD · Сообщение **GVD** » 06.04.2008 0:31

У меня хостер km.ru (бесплатный), пароль менять может только хостер, но до него не достучаться... Целый месяц ждал нового пароля. Получил, а заодно и нового "трояна" :

Код: Выделить всё

<script>function v47f68b3871ed0(v47f68b3871ed6)
...
</script>

DrWeb его не видит. На форуме пожаловались на CPG - Касперский обнаруживает "троянскую программу". Начал проверять и нашёл этот "подарок". Файлы были изменены на сервере вчера (04.03.08).
Этой заразой были "награждены" все indexы php и html в CPG, DLE и phpbb 2.0.22
Комп чищу, но вирусы прут как из рога изобилия. Антивирус стоит DrWeb 4.44, обновляется ежедневно, но винда слетала за последний месяц трижды...
Сегодня в очередной раз переустанавливал OS, комп чистый, пароли в голове. Как защитить сайты?.. Только регулярной чисткой?

Палыч · Сообщение **Палыч** » 06.04.2008 1:05

GVD писал(а): Как защитить сайты?

Поменять хостера.

GVD · Сообщение **GVD** » 06.04.2008 2:22

Палыч
На хосте by.ru то же самое только с html файлами. Пароль на FTP менял - бесполезно.

GVD · Сообщение **GVD** » 19.04.2008 23:42

Палыч писал(а):Поменять хостера.

А какой по вашему мнению лучший из бесплатных и платных (не дорогой, до 200 Мб)?

Палыч · Сообщение **Палыч** » 20.04.2008 0:21

У меня нет мнения на этот счёт.
Слишком расплывчато понятие "лучший". 8)
Лучший - безпроблемный. А это зависит от людей.

GVD · Сообщение **GVD** » 20.04.2008 11:40

Ещё вопрос по теме "трояна".
Начал наблюдать, что "обновление" файлов index.php, index.html, auth.php, login.php и т. д. происходит в одно время (плюс-минус пара минут). Вопрос: или "доброжелатель" использует программу для загрузки мусора, или я не полностью чищу все зараженные файлы? Могут ли остатки зараженных файлов грузить "трояна" по чистым файлам? И ещё - код скрипта "трояна" изменяется практически раз от раза.
P.S. Спустя час после чистки "троян" снова в файлах.

Alek$ · Сообщение **Alek$** » 20.04.2008 14:13

GVD
почистите свой комп от вирусов и поменяйте все пароли.

GVD · Сообщение **GVD** » 11.05.2008 10:23

А кто подскажет - что это за скрипт? Раньше его в файлах не было.

Код: Выделить всё

<script language=JavaScript>function upbpnban(x)
***
</script><!-- host5.km.ru -->

Alek$ · Сообщение **Alek$** » 11.05.2008 10:50

GVD
похоже на троян. Расшифровывать лень, но нормальные скрипты так не шифруют.

GVD · Сообщение **GVD** » 11.05.2008 10:52

Alek$
Касперский и DrWeb его не видят...

Alek$ · Сообщение **Alek$** » 11.05.2008 10:57

Свежий еще. Отправь им, глядишь, начнут видеть

GVD · Сообщение **GVD** » 23.05.2008 20:41

И ещё одна фигня обнаружилась: с некоторых страниц форума или галереи идёт перенаправление на http://ya.ru/ ( даже после чистки)...

phpBB Guru - Официальная русская поддержка форума phpBB

Как убить Трояна?

Как убить Трояна?

Re: Как убить Трояна?