[ilfatZX]

Он прописывается в файл .htaccess в самом конце. На всех сайтах, которые лежат на хостинге. Самое интересное дата изменения не меняется, но права на файл меняются на 777 с 444. Ежедневно, я уже устал удалять, менять права и на следующий день опять все заново.
Мне кажется это в кроне прописано, там есть такое:

Что за процесс запускается не могу понять и найти адрес по которому он запускается.

Как отследить и что посмотреть чтобы увидеть откуда и как меняют?

[3s777]

А у вас хостинг или VPS?

[lipshets]

Проверьте сайт бесплатным скриптом айболит. Скорее всего у Вас сайт на дле или джумле. Данный код прописыват не только файлы .htaccess, а и создает дополнительный файлы на пхп примерно такие index_.php, index_backup.php, kjfkhsdfkjdfhf.php, foto.jpg.php и так далее. Прописываться может и в ява скриптах. В джумле часто прописывается в mootools.js Почистите сайт от кода или восстановите из бекапа не зараженный и поставьте дополнительный пароль на административную папку с помощью .htpasswrd

[ohmygod]

То что прописано в кроне — это проверка обновлений cPanel.

[ilfatZX]

3s777, виртуальный хостинг, Cpanel

lipshets, joomla и WP и другие Cms. Он прописывается во все файлы .htaccess вне зависимости от движка.
Сейчас проверю айболитом. Восстанавливать из бекапа не вариант, много сайтов и уже изменения вносили важные когда вирус был.
А как понять, что за процесс у меня в кроне прописан? Как этот скрипт найти, адрес к нему непонятный.

[3s777]

Если виртуальный хостинг, то возможно вам поможет мой случай. Тут я описывал. Ситуация очень схожа...

[ilfatZX]

lipshets, у меня через браузер проверить не получается, есть второй способ "подключиться к серверу по ssh". А как к нему подключиться?

3s777, дауж. Вам пришлось попотеть. Обычным антивирусом проверяешь сайт выкаченный на комп?

[3s777]

Обычным антивирусом проверяешь сайт выкаченный на комп?

Проверял всем чем только можно. Но как выяснилось проблема была не в моих сайтах, а в вирусе на сервере, который самостоятельно я не мог никак ни вылечить ни выявить, а хостер утверждал что никакого вируса на сервере нет...

[lipshets]

у меня через браузер проверить не получается, есть второй способ "подключиться к серверу по ssh". А как к нему подключиться?

скачайте winscp и в командной строчке запустите скрипт. Если не получится запустить скрипт (такое тоже возможно) - то скачайте полностью все файлы сайта на ПК и просканируйте антивирусом. После новой заливки на фтп рекоммендую

поставьте дополнительный пароль на административную папку с помощью .htpasswrd

Можно адрес сайта в личку?

[druzhkov]

есть второй способ "подключиться к серверу по ssh"

Ммм... Несколько странно - у вас точно виртуальный хостинг? Если есть ssh, то больше похоже на VPS.

Для начала проверять айболитом, причем все имеющиеся проекты.
Далее, если не помогло - антивирус на уровне сервера. Есть еще отличный пакет audit, который фиксирует, какой процесс последний модифицировал указанный файл.