Вирус на сайтах под управлением 1С-Битрикс

Проблемы и симптомы

Основные симптомы выглядят так:

• Вместо сайта белый экран
• При переходе на сайт редирект на сайт казино или т.п.
• В админке открывается только главная страница, а при переходе в раздел админки — ошибка 403

На самом деле могут быть и другие, но из всех сайтов, что я проверил — эти были у каждого.

В чем проблема? К вам на сайт был загружен вирус. Этот вирус при исполнении создает копию себя и заменяет или добавляет вредоносный код в ваши файлы. Также вирус создает собственный .htaccess, в котором вот такой код:

<FilesMatch '.(py|exe|phtml|php|PHP|Php|PHp|pHp|pHP|pHP7|PHP7|phP|PhP|php5|suspected)$'>
Order allow,deny
Deny from all
</FilesMatch>

<FilesMatch '^(index.php|inputs.php|adminfuns.php|chtmlfuns.php|cjfuns.php|classsmtps.php|classfuns.php|
comfunctions.php|comdofuns.php|connects.php|copypaths.php|delpaths.php|doiconvs.php|epinyins.php|
filefuns.php|gdftps.php|hinfofuns.php|hplfuns.php|memberfuns.php|moddofuns.php|onclickfuns.php|
phpzipincs.php|qfunctions.php|qinfofuns.php|schallfuns.php|tempfuns.php|userfuns.php|siteheads.php
|termps.php|txets.php|thoms.php|postnews.php|wp-blog-header.php|wp-config-sample.php|wp-links-opml.php|
wp-login.php|wp-settings.php|wp-trackback.php|wp-activate.php|wp-comments-post.php|wp-cron.php|
wp-load.php|wp-mail.php|wp-signup.php|xmlrpc.php|edit-form-advanced.php|link-parse-opml.php|
ms-sites.php|options-writing.php|themes.php|admin-ajax.php|edit-form-comment.php|link.php|
ms-themes.php|plugin-editor.php|admin-footer.php|edit-link-form.php|load-scripts.php|
ms-upgrade-network.php|admin-functions.php|edit.php|load-styles.php|ms-users.php|
plugins.php|admin-header.php|edit-tag-form.php|media-new.php|my-sites.php|post-new.php|
admin.php|edit-tags.php|media.php|nav-menus.php|post.php|admin-post.php|export.php|media-upload.php|
network.php|press-this.php|upload.php|async-upload.php|menu-header.php|options-discussion.php|
privacy.php|user-edit.php|menu.php|options-general.php|profile.php|user-new.php|moderation.php|
options-head.php|revision.php|users.php|custom-background.php|ms-admin.php|options-media.php|
setup-config.php|widgets.php|custom-header.php|ms-delete-site.php|options-permalink.php|term.php|
customize.php|link-add.php|ms-edit.php|options.php|edit-comments.php|link-manager.php|ms-options.php|
options-reading.php|system_log.php)$'>
Order allow,deny
Allow from all
</FilesMatch>

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteBase /
    RewriteRule ^index.php$ - [L]
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteRule . index.php [L]
</IfModule>

А в файлах index.php — вот такой вредоносный код:

<?php /* вредоносный обфусцированный код — удаляется полностью */
...

Таким образом при попытке открыть сайт происходит копирование вируса, а сам сайт не открывается.

---

Диагностика

Для начала стоит подключиться через файловый менеджер или FTP к сайту и убедиться, что файлы действительно заражены.

Файлы .htaccess с кодом выше могут находиться не только в корне, но и в каждой подпапке сайта. Удалением одного проблему не решить.

Также стоит проверить все файлы с расширением PHP — в каждом может содержаться вредоносный код.

Все зависит от того, как долго сайт был заражен. Чем дольше — тем глубже заражение.

Если посмотреть логи веб-сервера зараженного сайта, можно увидеть подозрительные запросы к вредоносным файлам с разных IP-адресов.

---

Лечение

Для начала стоит остановить веб-сервер или направить домен на временную заглушку.

Далее приступаем к лечению.

Если есть чистый бэкап — восстановите его в отдельную папку (не поверх зараженного сайта).

Если бэкапа нет:

1) Удаляем все .htaccess

Подключаемся по SSH:

cd /path/to/your/site
find . -type f -perm 0444 -name ".htaccess" -delete

После удаления нужно вернуть стандартный .htaccess Битрикса.

---

2) Очистка зараженных PHP-файлов

Нужно вручную удалить вредоносный код (обычно в самом начале файла).

Пример чистого файла:

<?
require($_SERVER["DOCUMENT_ROOT"]."/bitrix/header.php");
$APPLICATION->SetTitle("Title");
?>
...

Подозрительные признаки вирусов:

• Файлы с бессмысленными именами (sdfkjh30jisdg9.php)
• Папки и файлы wp_* на сайте Битрикс
• Обфусцированный код
• Вставки перед подключением Bitrix

---

3) Очистка кеша Битрикс

Через админку:

Настройки → Автокеширование → Очистка кеша

Если не получается — вручную удалить содержимое папок:

/bitrix/manage_cache/
/bitrix/cache/

---

4) Проверка агентов

Настройки → Настройки продукта → Агенты

Удалить подозрительные агенты (особенно модуля main с непонятным кодом).

---

5) Удаление вредоносных модулей

Удалить папки:

/bitrix/modules/vote/
/bitrix/tools/vote/

---

Профилактика и защита на будущее

После очистки обязательно:

• Сменить все пароли (админка + хостинг + FTP + БД)
• Обновить Битрикс до последней версии
• Сделать свежий бэкап
• Периодически проверять сайт на вирусы

Можно использовать сканер безопасности, например Bitrix XScan.