Лечение сайта на 1С-Битрикс от вирусов

Признаки заражения сайта на Битриксе

• Хостинг или Яндекс сообщает о вредоносном коде на сайте.
• С мобильных устройств сайт перенаправляет на казино или другие сайты.
• В корне сайта и в /upload/ появились незнакомые PHP-файлы.
• В группе «Администраторы» появились новые пользователи.
• Сервер рассылает спам или резко выросла нагрузка на процессор.
• Модуль «Проактивная защита» показывает подозрительную активность в журнале вторжений.

Как обычно взламывают Битрикс

• Устаревшее ядро. Сайты без продлённой лицензии годами не получают обновлений безопасности. В старых версиях известны уязвимости, которые позволяют загрузить файл на сервер без авторизации.
• Сторонние модули из Маркетплейса и самописные компоненты без проверки входных данных.
• Утёкшие пароли администраторов, FTP и панели хостинга.
• Открытые служебные скрипты: restore.php, bitrixsetup.php, дампы базы в /bitrix/backup/, забытые после переноса сайта.

Где искать вредоносный код

1. /upload/ — любые PHP-файлы в этой папке подозрительны.
2. /bitrix/php_interface/init.php и dbconn.php — их подключают на каждой странице, поэтому туда любят встраивать код.
3. /bitrix/templates/ и /local/templates/ — шаблоны сайта: header.php, footer.php.
4. /bitrix/modules/ — изменённые файлы ядра и модулей.
5. .htaccess в корне и подпапках — правила перенаправления.
6. База данных — агенты (b_agent) и обработчики событий (b_module_to_module), которые восстанавливают вредоносный код.

Встроенные инструменты Битрикса

В редакциях с модулем «Проактивная защита» есть полезные инструменты — используйте их:

• Сканер безопасности (Настройки → Проактивная защита → Сканер безопасности) — проверяет настройки сервера и сайта.
• Контроль целостности — сравнивает файлы ядра с эталоном и показывает изменённые.
• Веб-антивирус и проактивный фильтр — блокируют часть атак и вредоносных вставок.
• Журнал вторжений — показывает, откуда и как пытались атаковать сайт.

Но если ядро не обновлялось несколько лет или вредоносный код уже внутри, этих инструментов недостаточно.

Пошаговая чистка

1. Сделайте полную резервную копию файлов и базы.
2. Смените пароли администраторов, FTP/SSH, панели хостинга и базы данных; удалите лишних пользователей из группы «Администраторы».
3. Найдите и удалите вредоносные файлы, вставки в шаблонах и init.php.
4. Проверьте агенты и обработчики событий в базе данных.
5. Сравните ядро с эталоном через контроль целостности или переустановите изменённые модули.
6. Обновите ядро и модули до актуальных версий. Если лицензия истекла — как минимум закройте известные уязвимые скрипты.
7. Удалите служебные файлы восстановления и старые бэкапы из публичных папок.
8. Запретите выполнение PHP в /upload/.

Защита на будущее

FYZI Shield работает с Битриксом так же, как с WordPress: агент каждый день проверяет файлы и базу данных, включая агенты и обработчики событий, следит за новыми администраторами и сообщает в Telegram о любых изменениях. При заражении на тарифе «Бизнес» лечение — за наш счёт.

Частые вопросы