如何从网站上删除JS：Illredir-S [Trj]（病毒）？

Question

我的网站www.edesimusic.net和www.juraatmedia.com感染了JS：Illredir-S [Trj]恶意软件。我的网站继续感染了一些重定向或js脚本或iframe脚本，清理后我更改了密码，几天后再次出现。

任何人都可以告诉我如何正确保护我的网站以及如何删除这种病毒JS：Illredir-S [Trj]？我没有收到有关此病毒的任何信息以及我服务器上的哪个文件感染了该病毒。

请帮助我！

Answer 1

我遇到了同样的问题，Windows是最新的，防病毒是最新的（首先是AVG，第二台计算机是赛门铁克），反间谍软件是最新的......我从不安装“奇怪的事情“......所以我以为我受到了保护。 突然，我的filezilla中的所有网站/帐户都被JS：Illredir-CB [Trj]木马感染了。

这是在看到一家大公司的网站后发生的。 这个特洛伊木马进入我的电脑，没有任何警告.....这么容易。 该脚本是一个javascript函数：创建链接到端口8080的远程站点的各种技巧。 这个把一个JAVA小程序放在一个iframe中，这在后台打开了一个CMD，它在system32中安装了一些文件。

我做了什么：

1. 删除所有FTP登录信息 设置，或在所有设置中设置 关于“问密码”的帐户
2. 我改变了所有的设置 FTP帐户。 （做吧，因为我 忘了一个，这个是3天 后来再次触动）
3. 完全扫描您的计算机。一世 只注意到这一刻 AVAST检测到了这个（我确实尝试过 很多扫描仪）
4. 您的所有FTP网站都被触及了...... 和每张地图......在我的情况下也是如此 https文件......所以你必须这样做 检查所有文件（检查它 日期/时间）

检查所有.JS文件和文件底部的所有名称如“home”“default”和“index”....的文件是一个额外的行。 （他们不是都一样!! ......但看起来像一样） 我的一些文件完全损坏了，所以我不得不为这些文件备份。

在服务器的de FTP日志文件中，我多次尝试连接旧设置.....所以他们尝试了一次以上。

---

我仔细查看了感染计算机的脚本：在我的情况下，该函数打开了后门 [http：// highstate。 ru：8080 /google.com/stumbleupon.com/btjunkie.org.php] 但我在其他一些脚本中看到highstate.ru不是唯一的域名..... 查看这些链接诺顿对此域名的说法： [https：// safeweb.norton.com/ report / show？name = anyscent.ru] 要么 [https：// safeweb.norton.com/ report / show？name = highstate.ru]

---

我看到的最新内容：
index.html：JS：Illredir-CB [Trj] ++ exemple.htm [L] HTML：Downloader-F [Trj] ++ Applet1.htm [L] JS：Jaderun-A [Expl]全部采用相同的方法：网页底部的远程脚本/ js文件

很好的例子：此时此网站上是一个特洛伊木马：http：// wordpress.org / support / topic / 349452] 我的AVAST看到了这个，并禁用了该页面。

我希望有人能用我的经验做点什么!!

Answer 2

请参阅FAQ: My site was hacked « WordPress Codex和how-to-completely-clean-your-hacked-wordpress-installation