Allora stanno sfruttando un bug dei cms. Devi controllare tutte le applicazioni php che girano sui tuoi siti e verificare se ci sono delle vulnerabilità di sicurezza già scovate e patchate. In caso contrario la faccenda si fa complessa e sarebbe opportuno che tu contattassi sia i creatori di mybb, osclass e compagnia, per collaborare con loro in modo da trovare una soluzione.

Solo?

Aggiungi Wordpress. Elxis, Joomla.... ma sopratutto il problema ha "colpito" anche siti web statici al 100% ! (4 paginette in html)
Sia server Linux he Windows.

Ma non è che qualcuno ti ha bucato il pc e rubato le password? Mi pare assurdo che abbiano avviato un attacco che colpisce indiscriminatamente così tanti cms e sistemi operativi.

Il pc pareva perfettamente pulito, ho valutato anch'io questa opzione.
Ho iniziato a far scansion con
MSE
MBAM
SUPERAntispyware

Quindi con i rescue Cd di Kaspersky ed Avira

Non hanno trovato nulla.

Però han bucato anche, giusto per fare un esempio, davidesigillo.eu del quale il proprietario aveva cambiato password.

Quindi la password per quel sito tu proprio non ce l'hai? In questo caso l'ipotesi del pc bucato diventa meno probabile e acquisisce forza l'ipotesi che qualcuno ce l'abbia con te, altrimenti non si capisce perchè tutti i tuoi siti sono sotto attacco.

C'è un legame tra tutti quei siti ( compreso davidesigillo.eu )? Che so, tipo stessi ip, hosting, ecc...

Esatto quella pass non c'era sul mio pc!

Tutti i vari siti colpiti non hanno niente di particolare, certi html statici, altri php, altri ancora con CMS

Quasi tutti sono sotto i server Misterdomain.

Ciao glm2006ITALY,

domanda: Filezilla o il client che usi per FTP è aggiornato?
Puoi scrivere il nome di uno dei siti bucati? non ancora ripristinato.

FileZilla aggiornato.

Per il sito provate a guardare:
babybablom.it
daovidio.it
ilcaminettodellanonna.it (al quale ho già eliminato dallo spazio web i file .js infetti
alessandropescasport.com

In quest'ultimo lo script punta a scriptslimit.info.

Riuppo il thread per chiederti se usi Plesk. In questo caso il mistero è risolto http://thehackernews.com/2012/07/plesk-zero-day-exploit-in-wild.html

Uhm.. si potrebbe essere pechè:
Gli hosting linux offerti dalla Misterdomain usano Plesk 9.54...... cioè una vecchia ver.!

Non so se anche altervista ha lo stesso problema...

Inoltre, domanda da niubbo, anche gli hosting Windows usano il plesk?
Mi pare di no!

Ne approfitto per chiedere un favore, ma a voi babybablom . it risulta ancora infetto?

Ho eliminato le varie stringhe e file ma sucuri.net continua a "vedere" le stringhe malevole.... :():

Teoricamente quel bug dovrebbe essere stato risolto 1 o 2 mesi fa dal team parallels.

@glm2006ITALY said:

Inoltre, domanda da niubbo, anche gli hosting Windows usano il plesk?
Mi pare di no!

plesk funziona pure su windows e ci sono hoster che lo offrono

Ok, ma poi deve anche essere aggiornato dal hosting... no?

Per il Plesk non saprei.... nelle opzioni del piano "hosting windows" non viene specificato.