На этот раз снова взломали сайт, но уже другой Прям напасть какая-то. Пишу со смайлами, так как уже победил эту чуму.
Значит в чем суть взлома - сайт начал редиректить на некую страницу - я даже не пытался на нее перейти. Просто антивирус стал ругаться и сыпать алертными окошками.

Значит страница с вирусом или еще с чем плохим: upgraderservices.cf / drupal.js
погуглив, понял, что вирус как-то пролез на сайт через watchdog - вроде как на него ссылаются на иностранных сайтах.
[РЕШЕНИЕ]
Полез искать эту дрянь на FTP - как ни странно, только в одном файл он был обнаружен - прописался в конце файла явакодом, файл содержал в имени вроде bootstrap чтот-то там, точно не помню
После удаления этого кода - ситуация не изменилась, сайт продолжал редиректить.

Пришлось прошерстить БД по ключевому слову: upgraderservices.cf и вот тут нашлось 25 совпадений.
2 совпадения пришлись на таблицу block_custom - там вирус создал целых два блока.
23 совпадения пришлись на таблицу watchdog

Решение было простое - зашел под админом на сайт в раздел блоки и нашел там 2 созданных блока с кодом вызывающем редирект. Удалил их прямо из админки - они пропали. Проверил по БД - из таблицы block_custom тоже исчезли (за одно проверяем таблицу block - там не должны остаться следы от удаленных ранее блоков, т.е. можно вообще руками почистить БД не заходя на сайт под админом).

Ну и удаляем записи из watchdog.

Пока все - антивирус перестал ругаться на сайт, все страницы открываются чистыми.

ЗЫ, за одно еще кэш скиньте, а то мало ли зараженные страницы будут висеть в кэше и выдаваться на запросы.

ВОПРОС - как заражение прошло на этот раз? т.е. вирус получил доступ к ФТП - прописавшись в одни из файлов сайта. И получил доступ к БД - создав два блока. Как уберечься от повторного нападения?

За последний месяц, это второй сайт лег от разных вирусов. Как-то совсем слабо. До этого года 2-3 без приключений было.