CryptoPHP finder

<?php
/*
   --- Skripta pronalazi CryptoPHP malware ---
Staviti skriptu u web folder, gde vam je sajt, ili u parent folder svih sajtova
Pokrenuti najbolje kao root, u konzoli, ili preko web-a, www.sajt.com/ova-skripta.php

p.s. normalno je da skripta 'prijavi' samu sebe (jer pronalazi 'potpis' virusa u samoj sebi)

Opsirnije o CryptoPHP malware-u - http://www.informacija.rs/Virus/Backdoor-CryptoPHP-u-pluginovima-za-WordPress-Joomla-i-Drupal.html

----------- */

$find = 'WP_OPTION_KEY';    // String koji trazimo
$folder = ".";          // folder koji treba da skenira [skenirace se i podfolderi],
                // "." je folder u kom se nalazi skripta.

@set_time_limit(3600);      // povecati po potrebi, maksimalno dozvoljeno vreme potrebno skripti da skenira sve, u sekundama

function scan($fajl) {
    global $find;
    $buf = file_get_contents ($fajl);
    if (strpos($buf, $find)!==FALSE) {
        echo $fajl." <br />\n";
    }
}

function filesInDir($dir) {
    if ($dh = opendir($dir)) {
        while (($file = readdir($dh)) !== false) {
            if ($file == '.' || $file == '..') {
            } elseif (is_dir($dir.'/'.$file)) {
                filesInDir($dir.'/'.$file);
            } else {
                if (strtolower(substr($file, strlen($file)-4, 4)) == ".php" || strtolower(substr($file, strlen($file)-5, 4)) == ".php" || strtolower(substr($file, strlen($file)-4, 4)) == ".png") {
                    $fajl = $dir.'/'.$file;
                    scan ($fajl);
                }
            }
        }
    }
    closedir($dh);
}

filesInDir($folder);

?>