Кто как боролся с вирусов редиректа на 1с-Битрикс?

Question

[Yuriy Lyadov]

Всем привет.
На сайте в файлах:

В файле bitrix/js/main/core/core.js в конце всего кода - s=document.createElement(script) и далее код.
И в файле bitrix/modules/main/include/prolog.php - на типа такого ript>";

Прописываются вирусный код каждую неделю и то меньше... Вот вопрос, кто как боролся с этим? Где то в других файлах искать еще 1 вирусный код который это все прописывает?
Пароли от всего чего можно поменял .

Comments

[Ярослав Александров]

Ядро битрикса это явно не делает.
1) Подключите антивирусную услугу в аккаунте хостинга
2) Смените хостинг на более качественный
3) Если есть несколько сайтов на разных системах управления на одной услуге, разнесите ваш битрикс отдельно
4) Перезалейте ядро через обновления

Answer 1

[Иван]

Недавно нашли дыру https://bdu.fstec.ru/vul/2022-01141
Подробнее
https://dev.1c-bitrix.ru/support/forum/messages/fo...
https://dev.1c-bitrix.ru/support/forum/messages/fo...
https://dev.1c-bitrix.ru/support/forum/forum6/topi...

https://habr.com/ru/news/t/674238/

Comments

[RESURT]

там уже обнова вышла по данной проблеме

[Yuriy Lyadov]

Спасибо большое, сделал рекомендации из форума. А то весь сайт перерыл и не нашел ничего подозрительного. А этот модуль по вирусам чет не особо справляется.

[Yuriy Lyadov]

RESURT, Не помогает. судя по тому что пишут на форуме

[Иван]

mills, тогда
1. сначала по логам найти дыру, понять как проникают, на хосте дыру заблочить в лоб.
2. пересобираем ядро и модули (гуглим), обновляем все это
3. перепроверяем базу ручками, нет ли каких следов
4. прогоняем код по всем php антивирусам (гугл + github)
6. отключаем все модули, которые не используются в проекте (настройки)
7. максимально жестко блочим все подозрительное на хосте , смотрим по логам

Answer 2

[fStrange]

Детальное описание https://fstrange.ru/coder/php/bitrix-virus-vote.html

Вкратце. Ломают примерно с 27 июня. Используют мартовскую уязвимость. CVE-2022-27228

В вашем случае почти наверняка не удален шелл с запрещенным в РФ названием. /bitrix/tools/putin_***o.php. И в таблице b_agent оба шелла.

1. удалить шеллы
2. удалить левый js
3. Обновить модуль vote, либо удалить