ломают полностью :с

Не смотря на петросянское название, тема серьезная, прошу помощи.
Ситуация такая: в index.php и других php-файлах появляется в шапке фрейм, с такой ссылкой:

Затем рассылается куча спама из почты, но это уже другой вопрос.

В фтп логах все чисто

нагуглил только это:
http://blog.webroot.com/2013/01/23/fake-in...le-exploit-kit/
но ничего толком не понял, кроме того, что я не один такой


UPD: перед тем как появился последний баннер, на форуме зарегистрировался такой юзер:


и установил такой статус:

midorfeed,
какая ПУ на хостинге? Уж не парралелс ли случаем?

без понятия. хостинг beget.ru

vpntunnel походу с шифрованием, неотследить

спасибо, кэп, меня мало интересует кто, мне более важно как и зачем

Так зайдите да посмотрите что за панелька.



Так если вы так говорите ... спросите у своего хостера, чего сюда то пишите.

это неважно. допустим берется парсится выдача гугла на уязвимые сайты
потом автоматом експлойтом вставляется ссылка,

и спроси потом ЗАЧЕМ ,


как зачем . головой думай
для увеличения индексации их сайта или трафф партнерки

так выглядит ПУ

midorfeed,
да какая разница как она выглядит?
если она на плеске основана - то там в части версий есть дырень, через которую сплоит можно залить.

ну а как я могу знать, какой у нее движок:D

Вряд ли на этом хостинге дырявая панель. ПУ самописная там

видел я тут одних самописцев, они себя bp-host называют, на всех бд одинаковые пароли стоят(

Beget компания с довольно хорошей и незапятнанной репутацией. Думаю врятли виноват из софт.

поставили что-то дырявое, вот вам залил шелл, а дальше дело техники.
Бродит по php файлам добавляет в тело ссылку.
Но, конечно, проще beget обвинить в криворукости.
сюда лучше покопайте.

На фамилию в ПУ наводить мышь не пробовали? хотя если чистые логи FTP то там и смотреть нечего.

Ставлю на то, что просто залили шелл.

mazdan, я их даже не думал обвинять в криворукости, но я, как бы это сказать, не верю в полную безопасность хостинга, как и не верю в полную безопасность любого интернет-ресурса.
Конечно же, в первую очередь надо рыть со своей стороны. Я создал тему для того, чтобы узнать, не сталкивались ли именно с этим шеллом, а не для получения общей информации)
Всем спасибо за помощь, буду копать дальше, раз никто не знает об этом загадочном "шведе")

сравните дату модификации файлов с датой реги этого человека.

Сегодня случайно нашел в автозагрузке вот это
https://www.virustotal.com/file/6a18c125b64...e35a7/analysis/
Тему можно закрыть.