поддержка хостера помогла. хвала этим людям!
Вот что мне написали:
Здраствуйте.
Судя по всему, у Вас на компьютере находится троянская программа, которая перехватила пароль от ftp.
27 апреля в 18:36 были изменены все файлы index.tpl, header.tpl, index.php. Вот список:
./tvoipost.ru/index.php
./tvoipost.ru/classes/lib/external/HackerConsole/Main.php
./tvoipost.ru/classes/lib/external/kcaptcha/index.php
./tvoipost.ru/classes/lib/external/Smarty-2.6.19/unit_test/templates/index.tpl
./tvoipost.ru/classes/lib/external/Smarty-2.6.19/demo/index.php
./tvoipost.ru/classes/lib/external/Smarty-2.6.19/demo/templates/index.tpl
./tvoipost.ru/classes/lib/external/Smarty-2.6.19/demo/templates/header.tpl
./tvoipost.ru/templates/skin/developer/header.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionError/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionRss/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionTag/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionPeople/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionIndex/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionLogin/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionBlog/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionBlogs/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionComments/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionNew/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionRegistration/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionPersonalBlog/index.tpl
./tvoipost.ru/templates/skin/developer/actions/ActionSearch/index.tpl
./tvoipost.ru/templates/skin/webdo/header.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionError/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionRss/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionTag/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionPeople/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionIndex/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionLogin/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionBlog/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionBlogs/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionComments/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionNew/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionRegistration/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionPersonalBlog/index.tpl
./tvoipost.ru/templates/skin/webdo/actions/ActionSearch/index.tpl
./tvoipost.ru/templates/skin/new/header.tpl
./tvoipost.ru/templates/skin/new/actions/ActionError/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionRss/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionTag/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionPeople/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionIndex/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionLogin/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionBlog/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionBlogs/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionComments/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionNew/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionRegistration/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionPersonalBlog/index.tpl
./tvoipost.ru/templates/skin/new/actions/ActionSearch/index.tpl
./tvoipost.ru/templates/skin/light_star/header.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionError/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionRss/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionTag/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionPeople/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionIndex/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionLogin/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionBlog/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionBlogs/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionComments/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionNew/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionRegistration/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionPersonalBlog/index.tpl
./tvoipost.ru/templates/skin/light_star/actions/ActionSearch/index.tpl
./tvoipost.ru/templates/skin/chosen/header.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionError/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionRss/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionTag/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionPeople/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionIndex/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionLogin/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionBlog/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionBlogs/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionComments/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionNew/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionRegistration/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionPersonalBlog/index.tpl
./tvoipost.ru/templates/skin/chosen/actions/ActionSearch/index.tpl
Авторизация по ftp прошла успешно, с вашим паролем с ip-адреса, принадлежащего Нидерландам.
Чтобы восстановить работоспособность Вашего сайта, Вам необходимо выполнить следущее:
1. Установить либо обновить антивирус и просканировать компьютер на наличие вирусов.
2. Сменить пароль от ftp-аккаунта.
3. Желательно не пользоваться функцией сохранения пароля от ftp в программах, например CuteFTP, Total Commander, FAR и т.д.
4. Восстановить поврежденные файлы из бекапа за 26-е апреля.
Часттично я восстановил из беков, но работать стало криво, оказалась на одну папку были сменены права.
