Очистка 1С-Битрикс от шеллов, бэкдоров и вредоносного кода

Самая частая жалоба, с которой к нам приходят: «Сайт уже чистили, и не один раз, а вредонос всё равно возвращается». За этой формулировкой почти всегда стоит одна и та же ошибка — лечили симптом, а не причину. Видимую вставку удалили, антивирус хостинга отчитался об успехе, но скрытая точка входа осталась, и через день-два заражение восстановилось. Ниже подробно разберём, почему так происходит, чем глубокая очистка отличается от поверхностной и как мы строим работу, чтобы заражение действительно прекратилось.

Анатомия заражения на Битриксе

Чтобы понять, почему сайт лечат по кругу, нужно представлять, как устроено типичное заражение. Злоумышленник редко ограничивается одним файлом. Он создаёт многослойную конструкцию, в которой каждый элемент страхует остальные. Первый слой — веб-шелл: скрипт, дающий полный контроль над сайтом через браузер. Второй — один или несколько бэкдоров, которые тихо ждут и возвращают доступ, если шелл удалят. Третий — загрузчик, замаскированный через обфускацию, который при обращении к сайту заново скачивает и устанавливает вредонос. Четвёртый — следы в базе данных и в служебных механизмах Битрикса: агентах и обработчиках событий. Пятый — задания в crontab на сервере, переустанавливающие заражение по расписанию.

Поверхностное лечение убирает первый слой и иногда часть второго. Но пока живы загрузчик, заражённый агент или задание cron, конструкция самовосстанавливается. Именно поэтому удаление одного файла создаёт иллюзию успеха ровно до следующего обращения вредоноса. Глубокая очистка тем и отличается, что проходит все слои сразу и не считает работу законченной, пока не закрыта последняя точка входа.

Почему антивирус хостинга недостаточен

Сигнатурный сканер сравнивает файлы с базой известных отпечатков вредоносного кода. Это быстро и помогает против массовых, давно знакомых заражений. Но у такого подхода три принципиальных слепых пятна. Первое — новый или модифицированный код, у которого ещё нет сигнатуры: его сканер просто не видит. Второе — обфускация: вредонос, спрятанный через eval, gzinflate и base64, не совпадает ни с одной сигнатурой, пока его не раскрыть. Третье — заражение вне файлов: в базе данных, в агентах, в заданиях cron сигнатурный файловый сканер не работает в принципе. Поэтому антивирус хостинга уберёт знакомое и оставит всё остальное — а остальное как раз и возвращает заражение.

Мы не отказываемся от сканеров, но не полагаемся на них как на главный инструмент. Основа нашей работы — сверка файлов с эталоном чистого ядра и модулей Битрикса. Если файл отличается от эталона или его вообще нет в стандартной поставке, он попадает на ручной разбор. Это позволяет находить вредонос независимо от того, знаком он сигнатурам или нет, и отличать чужой код от ваших легитимных правок.

Разбор обфускации: как мы читаем замаскированный код

Замаскированный код — отдельная история. Строки вида eval, за которыми идёт длинная последовательность из base64 и gzinflate, означают, что настоящий код спрятан и собирается на лету при выполнении. Глазами понять, что он делает, невозможно, и в этом весь смысл маскировки. Мы разбираем такие вставки: безопасно раскрываем обфускацию, восстанавливаем исходный код и смотрим, что он реально выполняет — рассылает спам, ставит редирект, заводит админа или скачивает новый вредонос. Поняв назначение, удаляем не только саму вставку, но и загрузчик, который её подключает, иначе вставка вернётся.

Точки повторного входа, которые чаще всего пропускают

Когда мы принимаем уже «вылеченный» сайт, чаще всего пропущенными оказываются одни и те же вещи. Заражённые агенты Битрикса — служебные задания, которые система выполняет сама; вредонос прописывается туда и переустанавливается. Обработчики событий — код, который вызывается при определённых действиях на сайте и тоже может содержать загрузчик. Задания cron на уровне сервера, невидимые из админки Битрикса. Скрытые администраторы — лишние учётки с полными правами, заведённые во время взлома. И записи в базе данных — опции модулей и контент с инъекциями. Любая из этих точек по отдельности способна вернуть заражение, поэтому мы проверяем их все без исключения и фиксируем результат в отчёте.

Права файлов и каталоги загрузки

Отдельный пласт работы — права доступа. Массовые заражения часто пользуются опасными правами вроде 777 и каталогами загрузки, открытыми на запись и исполнение. Если такой каталог оставить, шелл зальют заново при первой возможности, даже если предыдущий удалён. Мы проверяем права на файлы и папки, исправляем избыточные, закрываем запись там, где её быть не должно, и убираем возможность исполнять загруженные файлы. Это не разовая уборка, а элемент закрытия входа: вредоносу становится некуда и невозможно записаться.

Чем мы отличаемся от поверхностного лечения

Разница в принципе. Поверхностное лечение отвечает на вопрос «что видно прямо сейчас и как это убрать». Глубокая очистка отвечает на вопрос «через что заражение вернётся и как это закрыть». Первый подход даёт быстрый, но временный результат. Второй требует больше времени и квалификации, но даёт результат постоянный. Мы сознательно выбираем второй: лучше один раз вычистить сайт полностью, чем брать деньги за повторные лечения по кругу. Поэтому в нашу работу всегда входят сверка с эталоном, разбор обфускации, проверка агентов, cron и пользователей, контроль целостности и наблюдение за сайтом после.

Что делать с причиной взлома

Очистка убирает последствия, но если оставить причину, сайт взломают снова тем же путём. Поэтому по логам и характеру заражения мы стараемся определить, как именно попали: устаревшая версия Битрикса, уязвимый модуль, слабый пароль, дыра в стороннем коде. Устранение причины можно сделать вместе с очисткой в тарифе «Очистка и защита» или отдельно. Если сайт уже взламывали, разумно не ограничиваться одной найденной дырой, а проверить все слабые места — для этого подходит комплексный аудит безопасности 1С-Битрикс. Аудит показывает полную картину рисков, а не только тот вход, которым воспользовались в этот раз.

Как закрепить результат надолго

Чтобы разовая очистка превратилась в устойчивую безопасность, после зачистки имеет смысл включить постоянную защиту. Регулярные резервные копии дают возможность быстро откатиться, мониторинг изменений файлов вовремя замечает новые правки, а фильтрация подозрительных запросов отсекает массовые атаки на входе. Эту часть мы реализуем в рамках услуги настройки проактивной защиты Битрикс. В связке очистка и проактивная защита снимают проблему целиком: сначала убираем то, что уже есть, потом не даём этому появиться снова.

Распространённые возражения

«Боюсь, что при чистке потеряю контент и заказы». Не потеряете. Перед любыми правками мы делаем копию заражённого состояния, чистим точечно по результатам сверки с эталоном и после каждого этапа проверяем, что сайт работает. Удаляем только вредоносный код и его следы, а рабочие данные — контент, заказы, настройки — остаются на месте.

«Может, проще переустановить сайт с нуля». Иногда при тотальном заражении это действительно вариант, но почти всегда чистка обходится дешевле и быстрее, а главное — сохраняет данные, доработки и историю. Решение мы принимаем по фактической картине заражения, а не по принципу. Если переустановка объективно выгоднее, честно об этом скажем.

«У меня небольшой сайт, кому он нужен». Подавляющее большинство заражений — массовые и автоматические: боты сканируют интернет и ломают всё, что уязвимо, независимо от размера и известности. Маленький сайт ровно так же используют для рассылки спама, размещения шеллов и редиректов. Поэтому защита и чистка нужны не «крупным», а всем, у кого есть уязвимости.

Признаки, по которым сайт пора проверять на заражение

Заражение редко начинается с явной катастрофы — чаще оно проявляется мелкими симптомами, которые легко списать на случайность. Браузер или антивирус посетителя вдруг ругается на ваш сайт. В поисковой выдаче рядом с доменом появляется пометка о небезопасности. Письма с сайта перестают доходить, а домен оказывается в чёрных списках. Мобильные посетители жалуются, что их перебрасывает на чужие страницы, хотя на компьютере всё в порядке, — это типичный признак условного редиректа, который вредонос показывает только части аудитории, чтобы дольше оставаться незамеченным. Резко выросла нагрузка на сервер без видимой причины, в логах — обращения к странным файлам, которых вы не создавали. Хостинг присылает предупреждения о вредоносной активности или рассылке спама. В админке появляются пользователи, которых никто не заводил. Любой из этих признаков — повод немедленно проверить сайт, потому что чем дольше живёт заражение, тем глубже оно врастает и тем дороже обходится зачистка.

Отдельно стоит насторожиться, если сайт давно не обновлялся. Устаревшие версии ядра и модулей Битрикса — самая частая дверь для массовых автоматических атак. Боты непрерывно сканируют интернет в поисках известных уязвимостей и ломают всё, что под них подходит, не разбирая, крупный это магазин или скромный сайт-визитка. Поэтому отсутствие видимых проблем не означает, что сайт чист: иногда вредонос месяцами тихо рассылает спам или собирает данные форм, ничем себя не выдавая. Экспресс-диагностика снимает этот вопрос за считанные часы и даёт однозначный ответ.

Чем заражённый сайт вредит бизнесу прямо сейчас

Пока заражение не вычищено, оно бьёт по бизнесу сразу с нескольких сторон, и каждый день промедления увеличивает счёт. Поисковые системы понижают заражённый сайт в выдаче и помечают его как опасный, отпугивая посетителей ещё до клика, — восстановление позиций потом занимает недели. Редиректы и подмены уводят клиентов прямо со страниц оформления заказа на чужие ресурсы, превращая ваш трафик в чью-то выручку. Рассылка спама с вашего сервера портит репутацию домена настолько, что письма перестают доходить даже к существующим клиентам, и страдает не только маркетинг, но и сервисные уведомления о заказах. Если вредонос крадёт данные форм, под угрозой оказываются персональные данные клиентов, а это уже не только репутационный, но и правовой риск. Наконец, хостинг в любой момент может просто заблокировать сайт за вредоносную активность — и тогда вы теряете не часть трафика, а весь сайт целиком, пока не вычистите источник.

Сложить эти потери в деньги помогает простой расчёт: умножьте месячную выручку сайта на долю упавшего трафика и на долю дней, что сайт работает с проблемой. Даже у среднего проекта получаются ощутимые суммы, которые многократно превышают стоимость зачистки. Калькулятор на этой странице делает такую прикидку за минуту — он наглядно показывает, что промедление с очисткой обходится дороже самой очистки.

Что вы получите в итоге

По завершении работы у вас будет вычищенный и работающий сайт без веб-шеллов, бэкдоров и вредоносных вставок, закрытые точки повторного входа и понятный отчёт: что найдено, где располагались входы, что удалено и что мы рекомендуем сделать дальше, чтобы не лечить сайт повторно. Копию заражённого состояния мы сохраняем для разбора. Сайт остаётся полностью вашим, без какой-либо привязки к нам, — продолжать его поддержку и развитие сможет как наша команда, так и любой другой исполнитель. Начать можно с бесплатной экспресс-диагностики: мы честно скажем, заражён сайт или нет, и если заражён — назовём срок и стоимость зачистки.