Problema cu un Virus / malicious URL pe site !?

Buna ziua,
De cateva zile ma confrunt cu o problema destul de mare, si anume, Kaspersky imi detecteaza un malicious URL in momentul accesarii unor pagini din forum.

Este vorba de URL-ul de mai jos, care observ ca a fost schimbat (zilele trecute aparea altul):
http://img266.imageshack.us/img266/5610/malicious.png

In principal, am observat ca URL-ul se activeaza in momentul in care accesez anumite (nu toate) pagini din Google, insa apare si la accesarea directa (navigarea prin site, insa, tot asa, nu la toate paginile).

Accesarea paginii: Coduri Assassin's Creed 3 (Trainer) - PC Troubleshooting spre exemplu, face ca aproape de fiecare data sa apara notificarea de la Kaspersky, ce imi indica faptul ca un URL rau a fost blocat.
M-am uitat in sursa paginii si nu gasesc sub nicio forma prezenta URL-ului, sau vreunui iframe.
Am efectuat scanari cu virustotal.com, sucuri.net si alte site-uri de acest gen, iar acestea imi spun ca site-ul este curat, si totusi, apare din cand in cand, acel URL...

Are cineva idee ce poate fi, si cum as putea sa scap de el?
Va multumesc!

Uita-te si la javascript poate il ia astfel, in loc de iframe. In general este criptat base64 sau re-re criptat astfel incat sa nu iti dai seama din prima. Arunca un ochi si in .htaccess si vezi daca sunt adaugate alte linii decat cele care ar trebui sa fie.
Separat, scaneaza continutul contului sau arhiveaza si scaneaza arhiva local.

Multumesc pentru raspuns. Forumul foloseste mai multe fisiere javascript, nu prea stiu in care sa ma uit, si, dupa ce anume sa ma uit. Este posibil sa imi dai mai multe detalii?

Ideea era sa verifici sub ce forma apare ulr-ul respectiv in paginile tale si de aici o iei pe fir in sus cautand insertii tip javascript. Iframe este demodat si usor de identificat. Ca sa fim intelesi, nu sunt si nici nu ma consider webmaster-ul lui peste prajit iar ce iti sugerez, sunt lucruri pe care le-am facut si eu cand am fost rugat sa rezolv o problema din categoria asta. Rezolvarea nu este usoara decat daca a fost facuta prin metode vechi sau de incepatori. Daca esti pe serverul tau ai 1-2 avantaje in plus fata de a fi pe un cont shared hosting pentru ca lucrul din/cu consola te scapa de timp pierdut.
O sa iti dau PM

Descarca de aici acest tool care merge impreuna cu antivirusul si scaneaza calculatorul

Malwarebytes : Malwarebytes Anti-Malware removes malware including viruses, spyware, worms and trojans, plus it protects your computer

Probabil este un malaware de browser, am avut si eu aceiasi problema, Kaspersky nu il vedea insa acel tool la gasit si l-am eliminat.

Succes!

@EHR am raspuns la mesajul privat.
@karismasand incerc acum Malwarebytes, desi am incercat de pe 4 calculatoare, si, se intampla la fel... Ce au in comun este browser-ul de pe care am incercat (Internet Explorer). Pe Google Chrome am navigat ieri prin site si Kaspersky nu mi-a dat nicio notificare.
Daca ar fi de la browser, de ce se intampla doar cu un site?

Poate il vede ca fiind default browser sau poate ca este singurul care permite sa insereze in pagina (cache) iframe-ul respectiv astfel incat sa castige vizite sau sa iti afiseze ads. Firefox are un addon bun: ABP (ad blocker plus) care nu afiseaza continut identificat ca posibil ad.

Am efectuat o scanare completa cu MalwareBytes, si nu a fost gasit niciun virus local...

testati si cu sucuri.net sau virustotal.com

Eu am precizat in primul post ca am testat, si tool-urile imi spun ca site-ul e "clear"...
Multumesc tuturor pentru raspunsuri!

Daca cineva mai are vreo idee, il rog sa posteze.

In aceasta seara, am accesat in acelasi mod (din Google) o pagina din forum, de pe alt calculator, si, am fost atentionat din nou:

http://img811.imageshack.us/img811/9391/trojanb.png

Totusi, de aceasta data, Kaspersky mi-a dat un indiciu, si anume fisierul xml.php, l-am descarcat de pe host, si l-am deschis, si, surpriza, am dat peste "un minunat" text criptat, care nu are ce sa caute acolo, by default:

http://img856.imageshack.us/img856/2786/xmlm.png

Sper sa fie singurul fisier infectat...

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Dupa ce am editat fisierul, vad ca nu mai sunt atentionat de Kaspersky, insa imi apare o eroare in browser (Done but with errors on page) pe pagina (in momentul accesarii unei pagini din Google), de forma:

Cod:

---

Webpage error details

User Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; GTB7.4; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; InfoPath.3; .NET4.0E)
Timestamp: Fri, 30 Nov 2012 21:48:18 UTC


Message: Syntax error
Line: 1
Char: 1
Code: 0
URI: http://pctroubleshooting.ro/xml.php?ref=http%3A%2F%2Fwww.google.ro%2Furl%3Fsa%3Dt%26rct%3Dj%26q%3Dcoduri%2520assassin's%2520creed%25203%26source%3Dweb%26cd%3D2%26ved%3D0CDAQFjAB%26url%3Dhttp%253A%252F%252Fpctroubleshooting.ro%252Ftopic%252F18479-coduri-assassins-creed-3-trainer%252F%26ei%3DgCm5UIqVFOLf4QSj04HQDQ%26usg%3DAFQjCNF97PTXSOxgnzbb4u0VymWYwMC4Vw&page=http%3A%2F%2Fpctroubleshooting.ro%2Ftopic%2F18479-coduri-assassins-creed-3-trainer%2F

---

Ma poate ajuta cineva sa scap de ea?

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Nu are nimeni nicio idee :( ?

Daca fisierul a fost modificat, e important sa vezi cand s-a intamplat asta (data si ora ultimei modificari e disponibila) si de catre cine (necesita acces la log-urile serverului).
Ia legatura cu gazduitorul pentru o analiza detaliata.

Multumesc pentru raspuns!

Din pacate in momentul de fata nu cred ca mai poate fi vazuta data si ora ultimei modificari (am facut o gramada de modificari in incercarea de a scapa de eroare), insa, stiu ca m-am uitat inainte si scria ca pe 21 noiembrie. Totusi, cum ma poate ajuta aceasta data?

Poate nu am explicat cum trebuie. Dupa ce am curatat/inlocuit fisierul xml.php si conf_global.php ce erau infectate, in momentul in care accesez un topic din Google, in momentul incarcarii paginii imi apare in browser partea stanga jos (doar IE) imaginea:

http://img202.imageshack.us/img202/9589/erroronpage.png

Dupa care dispare.

Daca dau dublu click pe done-ul cu semnul exclamari, imi apare:

Cod:

---

Webpage error details

User Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; GTB7.4; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; InfoPath.3; .NET4.0E)
Timestamp: Fri, 30 Nov 2012 21:48:18 UTC


Message: Syntax error
Line: 1
Char: 1
Code: 0
URI: http://pctroubleshooting.ro/xml.php?ref=http%3A%2F%2Fwww.google.ro%2Furl%3Fsa%3Dt%26rct%3Dj%26q%3Dcoduri%2520assassin's%2520creed%25203%26source%3Dweb%26cd%3D2%26ved%3D0CDAQFjAB%26url%3Dhttp%253A%252F%252Fpctroubleshooting.ro%252Ftopic%252F18479-coduri-assassins-creed-3-trainer%252F%26ei%3DgCm5UIqVFOLf4QSj04HQDQ%26usg%3DAFQjCNF97PTXSOxgnzbb4u0VymWYwMC4Vw&page=http%3A%2F%2Fpctroubleshooting.ro%2Ftopic%2F18479-coduri-assassins-creed-3-trainer%2F

---

Nu ma pricep foarte bine la php, insa din cate observ se afiseaza refferer-ul:

Cod:

---

http://pctroubleshooting.ro/xml.php?ref=http://google.ro/cautarea efectuata

---

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Daca sterg fisierul xml.php eroarea aceea (de mai sus) dispare, insa, nu e cea mai buna solutie, avand in vedere ca este un fisier de care scriptul se foloseste intr-un fel.

De aici trag concluzia ca mai exista un fisier care "cheama" acest fisier (xml.php), si probabil mai exista si pe acolo vreun cod nedorit, dar, nu stiu cum sa-l identific (asta daca nu vorbesc prostii).

P.S: Sunt dispus sa platesc pe cineva care ma poate ajuta sa rezolv problema :(