0.9.6.3 Внедрен вредоносный код

С незнания убил много времени на поиск зверя.
Яндех стал вдруг помечать сайтик как потенциально опасный. посмотрел с гостевого компа, обнаружил незнакомый мне iframe. Подумал разберусь дома.
Смотрю из дома - все чисто.
Проверил через сайтики (xseo.in/viruscan, burbon.ru, antivirus-alarm.ru) последний вроде самый толковый. Так они то заявляют, что сайт чистый, то обнаруживают вирус.
По дурости искал яваскрипты и iframe через поиск по базе данных и по файлам.
а потом дошло: Сверил все файлы с дистрибутивом и обнаружил изменения в
document.parser.class.inc.php
protect.inc.php

В обоих добавлен последней строкой eval
Сейчас по дате изменения постараюсь понять как он туда попал.
Зараженные файли на всяк случай прикладываю.
Что делает код внутри eval не разбирался. (судя по поведению стоит рандом и фильтр на айпишники из админских логов)

Quote from: Tohin at Mar 27, 2011, 06:16 AM

С незнания убил много времени на поиск зверя.

а потом дошло: Сверил все файлы с дистрибутивом и обнаружил изменения в
document.parser.class.inc.php
protect.inc.php

В обоих добавлен последней строкой eval
Сейчас по дате изменения постараюсь понять как он туда попал.
Зараженные файли на всяк случай прикладываю.
Что делает код внутри eval не разбирался. (судя по поведению стоит рандом и фильтр на айпишники из админских логов)

Как правило, такого рода "вирусы" (правда, чаще встречались зверьки, которые прописывались в index.*) попадают через зараженный компьютер по FTP, используя сохраненные в FTP-менеджерах пароли. Насчет даты изменения - наблюдал периодическое обновление зараженных и незараженных файлов (предполагаю, что-то вроде "зайти на ФТП, найти и заразить 10 "чистых" файлов, уйти)

Из того, что может помочь:
- сверить дату обновления файла с логом (FTP, если есть, HTTP), вдруг будет IP + "дырка";
- расшифровать eval, погуглить по нему;
- обновиться до более новой (лучше - последней) версии MODx Evo;
- сменить фтп (плакаты не вешать, в клиентах не сохранять);
- проверить, возможно ли средствами php изменить зараженные файлы (разрешения на файлы);
- проверить: соседние сайты, сайты на других аккаунтах;

такая же версия модикс на одном из сайтов и то же самое - яндекс периодически ставит ярлык небезопасности сайта

в php не соображаю, скажите как ещё можно помочь? попробую обновить cmf в скором времени

как привило ещё обыно заливается файл каконить типа index.php вглубь сайта чтобы через него можно было даже в случае обновления версии цмс трой внедрять

Столкнулся с аналогичной проблемой, но уже в версии 1/0/5 - также были изменены 2 файла указанных ТС, но при этом дата их редактирования не изменилась.

Также на сервере с Modx был найден шел, который не один антивирус не обнаружил.
Проблему решал при помощи программы сравнения файлов, заняла все процедура 10 минут.

я нашел вирус по содержанию в скриптах "base64_decode" удалил строки вируса и поменял пароль на хостинге и все проблема пропала)))

Quote from: damapic.ru at Apr 10, 2011, 11:35 AM

Столкнулся с аналогичной проблемой, но уже в версии 1/0/5 - также были изменены 2 файла указанных ТС, но при этом дата их редактирования не изменилась.

Также на сервере с Modx был найден шел, который не один антивирус не обнаружил.
Проблему решал при помощи программы сравнения файлов, заняла все процедура 10 минут.

А можно этот злой шел прикрепить.. или в личку ссылочку на него?.. если не сложно, с пояснением, где "оно" лежало...

Quote from: chunya at Apr 11, 2011, 07:41 AM

я нашел вирус по содержанию в скриптах "base64_decode" удалил строки вируса и поменял пароль на хостинге и все проблема пропала)))

Надеюсь, на базу и на юзеров-манагеров пароли тоже сменились?)