Отвечаю, чтобы старт-пост был виден в ленте комментов.

Суть дела: «Ресурс содержал встроенный вредоносный скрипт, распространяющий майнеры. Анализ показал, что он адаптируется под тип устройства: если пользователь заходит с телефона — происходит кража паролей, если с компьютера — загружается майнер. В случае с ПК скрипт инициирует загрузку архива с вредоносным ПО, который маскируется под книгу.
В рамках расследования специалисты ЦК F6 выявили цепочку аналогичных сайтов, участвующих в кампании: flibusta[.]one, flibusta[.]top, mir-knig[.]xyz, litmir[.]site. Кроме того, аналогичные вредоносные скрипты были обнаружены и на других ресурсах, включая иностранные сайты, что указывает на взлом и заражение серверов». (И flibusta[.]su -- тоже.
*подумав* Может, и либрусек.PRO -- тоже? Потому и пропал с горизонта?).

Техническая сторона: я правильно понимаю, что паразитный скрипт монтируется в код файла FB2? Или жертвы скачивают какие-то другие форматы, архивы с несколькими файлами?