Найдём и удалим вредоносный код в файлах и базе данных Битрикса, включая агенты, которые восстанавливают вирус после чистки. Закроем уязвимость, через которую зашли, и проверим, что сайт больше не в чёрных списках.
Экспресс-проверка за 15 секунд покажет редиректы, спам в коде и открытые служебные файлы.
Битрикс защищён лучше многих CMS, но сайты без продлённой лицензии годами не получают обновлений. Если вы видите хотя бы один пункт — сайт стоит проверить.
С мобильного сайт уводит на казино, ставки или «выигрыш смартфона», а с компьютера всё в порядке.
Хостинг нашёл вредоносные файлы, жалуется на рассылку спама или нагрузку на процессор и грозит блокировкой.
В выдаче предупреждение об угрозе, в Вебмастере — раздел «Безопасность и нарушения», реклама в Директе остановлена.
В папках загрузок инфоблоков появились файлы .php — их там быть не должно ни при каких условиях.
Удалили заражённый файл, через несколько минут он появился снова. Почти всегда это агент или обработчик события в базе.
В группе «Администраторы» появились пользователи, которых никто не заводил, или изменились пароли и почты.
Стандартная «Проверка целостности» видит только ядро. Вредоносный код в Битриксе чаще сидит там, где она не смотрит.
/bitrix/php_interface/init.php и dbconn.php — подключаются на каждой странице, любимое место для вставок./bitrix/templates/ и /local/templates/: header.php, footer.php, шаблоны компонентов./upload/ — веб-шеллы под видом изображений инфоблоков./bitrix/modules/ — изменённые файлы модулей, в том числе сторонних из Маркетплейса..htaccess в корне и подпапках — правила мобильных редиректов.b_agent) — PHP-код по расписанию, который восстанавливает удалённые файлы. Пока агент жив, чистка файлов бесполезна.b_module_to_module) — вредоносный код, вызываемый при каждом выводе страницы.restore.php, bitrixsetup.php и дампы в /bitrix/backup/, оставшиеся после переноса.Работаем через SSH, FTP или панель хостинга. Всё подозрительное сначала переносим в карантин, а не удаляем.
Полный снимок файлов и базы перед любыми изменениями.
Ищем веб-шеллы, вставки в init.php, шаблонах и модулях, сверяем ядро с эталоном.
Проверяем агенты, обработчики событий, администраторов, настройки и контент инфоблоков.
По журналам и версиям находим, как зашли: старое ядро, сторонний модуль, служебный скрипт или утёкший пароль.
Обновляем ядро и модули, если лицензия активна. Если истекла — закрываем известные уязвимые точки вручную.
Запрет PHP в /upload/, удаление служебных скриптов и дампов, настройка проактивной защиты.
Новые пароли администраторов, базы данных, FTP/SSH. Лишние пользователи удалены.
Перепроверка в Яндексе и Google, отчёт: что нашли, где и как закрыли.
Точную цену называем после бесплатной первичной проверки, до начала работ.
1С-Битрикс — коммерческая CMS со встроенной проактивной защитой, поэтому массовых заражений на ней меньше, чем на WordPress. Но у Битрикса есть своя слабость: обновления безопасности приходят только при активной лицензии. Тысячи сайтов работают на ядре, которое не обновлялось несколько лет, а уязвимости в старых версиях давно известны и эксплуатируются ботами.
Сайт продолжает работать, но обновиться нельзя. В этом случае мы закрываем известные уязвимые точки вручную, ограничиваем доступ к служебным скриптам и ставим внешний мониторинг, который сообщит о новом заражении в первые часы. Продлить лицензию всё равно стоит — это самый надёжный вариант.
Можно, если вы уверенно работаете с файлами и базой данных. Пошаговая инструкция — в статье «Лечение сайта на 1С-Битрикс от вирусов». Главное — не забыть про агенты и обработчики событий, иначе вирус вернётся. Про поиск зашифрованного кода — в разборе eval(base64_decode).
Разовое лечение — от 4 990 ₽. Цена зависит от объёма заражения, размера сайта и числа сайтов на хостинге. Точную стоимость называем после бесплатной проверки, до начала работ.
SSH или FTP и доступ к базе данных — обычно всё это есть в панели хостинга. Доступ администратора в Битрикс желателен. После работ рекомендуем сменить все переданные пароли.
Да, с любыми редакциями: от «Старта» до «Бизнеса» и коробочного Битрикс24. Отдельно проверяем каталог, корзину и оформление заказа, чтобы ничего не перехватывало данные покупателей.
Нет. Перед работой делаем полную копию, подозрительные файлы переносим в карантин. Если что-то окажется нужным — вернём за минуту.
Почти наверняка в базе остался агент или обработчик события, либо задача в cron хостинга. Мы проверяем все три места.
Да. После чистки отправляем сайт на перепроверку в Яндекс.Вебмастере и Google Search Console и сопровождаем до снятия пометки.
Оставьте адрес сайта и контакт. Бесплатно проверим, назовём стоимость и начнём в течение часа после вашего согласия.