Удаление вирусов с заражённого сайта на 1С-Битрикс

Удаление вирусов с сайта на 1С-Битрикс — это полная очистка заражённого ресурса от вредоносного кода и устранение причины, по которой код туда попал. Заражённый сайт почти никогда не сводится к одному файлу: вредонос распыляется по сотням скриптов, прячется в базе данных, маскируется под системные функции и оставляет себе несколько запасных входов. Поэтому простое удаление одного подозрительного файла не лечит сайт — через день заражение возвращается. Мы убираем вредоносный код целиком, восстанавливаем оригинальные файлы и закрываем точку входа, через которую злоумышленник попал на сайт.

Заражение на Битрикс проявляется по-разному, и не всегда очевидно. Иногда сайт открыто редиректит посетителей на чужие ресурсы, иногда тихо подмешивает спам-ссылки только для поисковых роботов, иногда раздаёт вирусы посетителям, и тогда браузер показывает красное предупреждение об опасности. Бывает, что внешне сайт работает нормально, но в выдаче у него появились страницы-дорвеи на чужих языках, а хостинг шлёт письма о вредоносной активности. Любой из этих симптомов означает, что на сайте живёт чужой код, и его нужно найти и вычистить.

Где прячется вредоносный код на Битрикс

Лечение начинается с тотального поиска. Вредонос на Битрикс заражает не только публичные файлы шаблона и компонентов, но и скрипты ядра, файлы в загрузках, служебные каталоги и саму базу данных. В базе вредоносный код чаще всего сидит в инфоблоках, в настройках, в highload-блоках и в сериализованных опциях, откуда он подставляется в страницы на лету. Поэтому чистить только файлы недостаточно — мы сканируем и файловую систему, и все таблицы базы, сверяя их между собой.

Основные места, где мы ищем заражение:

• инжекты и обфусцированный код в файлах шаблонов, компонентов и собственных скриптах сайта;
• подмена и заражение файлов ядра Битрикс с нарушением их целостности;
• веб-шеллы и бэкдоры в загрузках, во временных и служебных каталогах;
• вредоносные вставки в базе данных — в инфоблоках, опциях, highload-блоках;
• скрытые редиректы и условная выдача вируса по геолокации, рефереру или роботу;
• спам-ссылки, дорвеи и чужие страницы, подмешанные для поисковых систем.

Что мы делаем при лечении сайта

После поиска идёт очистка. Заражённые публичные файлы мы лечим, убирая инжекты и не ломая логику сайта, а файлы ядра восстанавливаем из эталонной поставки соответствующей редакции Битрикс — это гарантирует, что в системных скриптах не останется ни строчки чужого кода. Веб-шеллы, бэкдоры и загруженные злоумышленником файлы удаляем полностью. Из базы данных вычищаем вредоносные вставки, скрытые редиректы и спам-контент. Параллельно снимаем дорвеи и чужие страницы, которые успели проиндексироваться, чтобы убрать сайт из-под санкций поисковиков.

Очистка без закрытия точки входа бессмысленна, поэтому отдельный этап — поиск уязвимости, через которую сайт заразили. Это могут быть устаревшая версия Битрикс или модулей, украденные пароли администратора и FTP, дыра в самописном коде, скомпрометированный соседний сайт на том же хостинге. Мы определяем вероятный вектор, закрываем его, меняем пароли и ключи, обновляем уязвимые компоненты и настраиваем базовую защиту, чтобы повторное заражение не прошло тем же путём. Подробную проверку на слабые места выполняет смежная услуга — анализ и поиск уязвимостей.

Почему важно лечить быстро

Заражённый сайт работает против бизнеса каждый час, пока на нём живёт чужой код. Браузеры и антивирусные сервисы помечают опасный ресурс, и посетители видят красное предупреждение вместо ваших страниц. Поисковики понижают сайт и добавляют метку небезопасности, органический трафик падает. Хостинг при вредоносной активности шлёт предупреждения, а затем может заблокировать аккаунт целиком. Если на сайте есть формы и оплата, заражение угрожает данным клиентов. Поэтому мы беремся за диагностику в день обращения, а срочное лечение запускаем даже в выходные и ночью — чем раньше снято заражение, тем меньше потери и тем быстрее сайт выбирается из-под санкций.

Чем заканчивается работа

Итог лечения — чистый сайт без вирусов, без скрытых редиректов и спам-ссылок, который проходит проверку антивирусными сервисами и не вызывает предупреждений в браузере. Мы подаём заявки на снятие блокировок в антивирусных базах и поисковиках и контролируем, чтобы санкции были сняты. По завершении вы получаете отчёт: что было найдено, что удалено, через какую уязвимость произошло заражение и что сделано, чтобы оно не повторилось. На результат лечения мы даём гарантию: если в гарантийный период вылеченный сайт заразится тем же способом снова, мы устраняем это бесплатно. Решение о том, лечить точечно или восстанавливать из чистой копии, мы принимаем по реальному состоянию сайта и всегда обсуждаем его с вами заранее.

Когда сайт на Битрикс внезапно начинает редиректить посетителей, раздавать вирусы или светиться спамом в выдаче, первая реакция владельца понятна: найти антивирусный плагин, нажать кнопку и забыть о проблеме. На простых случаях это иногда срабатывает, но чаще создаёт иллюзию решения. Плагин убирает то, что видит, заражение на день затихает, а потом возвращается — потому что причина осталась нетронутой. Ниже разбираем, как устроено заражение Битрикс на самом деле, почему лечение требует ручной работы и как мы доводим сайт до состояния, когда он по-настоящему чист, а не просто временно молчит.

Почему заражение — это не один файл

Современный вредонос не складывает весь свой код в один заметный скрипт. Он распыляется: оставляет инжекты в десятках и сотнях файлов, прячет копии в служебных каталогах и загрузках, дублирует логику в базе данных и обязательно закладывает несколько бэкдоров — скрытых входов, через которые вернётся, даже если основной код найдут и удалят. Бэкдор может выглядеть как безобидная функция в системном файле, как картинка с исполняемым кодом внутри или как невинная строка в настройках. Поэтому чистка только тех файлов, которые подсветил сканер, почти всегда оставляет лазейку, и через неё сайт заражается заново.

Отдельная сложность Битрикс — масштаб системы. Ядро состоит из тысяч файлов, а сайт работает на сложной структуре инфоблоков, компонентов и настроек в базе. Вредонос пользуется этим: маскируется под системный код, прячется среди легитимных скриптов и заражает таблицы, которые сканеры файлов в принципе не проверяют. Чтобы вычистить такое заражение, нужно сверять файловую систему с эталонной поставкой и параллельно разбирать базу данных, понимая, как именно Битрикс хранит контент и опции. Без этого понимания часть вредоносного кода неизбежно остаётся.

Чем опасен заражённый сайт прямо сейчас

Пока сайт заражён, он работает против бизнеса каждый час. Если вредонос раздаёт вирусы или редиректит, браузеры и антивирусные сервисы помечают сайт как опасный, и посетители видят красное предупреждение вместо ваших страниц. Поисковики добавляют метку небезопасности в выдачу или вовсе понижают сайт, и органический трафик падает. Хостинг при вредоносной активности шлёт предупреждения, а затем может заблокировать аккаунт целиком. Если на сайте есть формы и оплата, заражение угрожает данным клиентов, а это уже репутационный и юридический риск. Поэтому лечение — это не косметика, а остановка ежедневных потерь, которые мы помогаем оценить калькулятором выше на этой странице.

Время здесь работает против вас вдвойне. Чем дольше живёт заражение, тем глубже оно укореняется: появляются новые бэкдоры, заражаются свежие файлы, в выдачу попадает больше дорвеев, а санкции поисковиков накапливаются и снимаются потом тяжелее. Сайт, который вычистили в первый день, восстанавливается быстро; сайт, который месяц редиректил посетителей, лечится дольше и дольше выбирается из-под санкций. Именно поэтому мы беремся за диагностику в день обращения, а не ставим заражённый ресурс в общую очередь.

Как мы лечим: от диагностики до закрытия входа

Работа начинается с того, что мы снимаем резервную копию заражённого состояния — это и страховка, и материал для анализа того, как действовал злоумышленник. Дальше идёт тотальный поиск: сканируем все файлы, сверяя ядро с эталоном соответствующей редакции, и разбираем базу данных по таблицам, где обычно прячутся вставки. На этом этапе мы не торопимся удалять, а сначала составляем полную картину заражения, чтобы не пропустить ни одного бэкдора и ничего не сломать в рабочей логике сайта.

Затем начинается очистка. Публичные файлы лечим аккуратно, убирая инжекты и сохраняя функциональность, файлы ядра восстанавливаем из чистой поставки, веб-шеллы и загруженные злоумышленником скрипты удаляем полностью. Из базы вычищаем вредоносные вставки, скрытые редиректы и спам-контент, снимаем дорвеи и чужие страницы. После очистки сайт уже не раздаёт вирусы и не редиректит, но работа на этом не заканчивается — иначе через несколько дней всё повторится.

Ключевой этап — закрытие точки входа. Мы определяем, как именно сайт заразили: через устаревшую версию Битрикс или модуля, через украденные пароли, через дыру в самописном коде или через соседний сайт на том же хостинге. Найденную уязвимость закрываем, обновляем уязвимые компоненты, меняем все пароли и ключи, настраиваем базовую защиту. Если нужна более глубокая проработка слабых мест, её закрывает смежная услуга — защита и устранение уязвимостей, а постоянный контроль состояния обеспечивает мониторинг и резервное копирование.

Снятие блокировок и возврат доверия

Вычистить код — половина дела, если сайт уже попал в чёрные списки. Антивирусные сервисы, браузеры и поисковики держат метку небезопасности до тех пор, пока сайт не пройдёт перепроверку. Мы подаём заявки на снятие блокировок во все базы, где сайт помечен, и контролируем результат, потому что подать заявку при оставшемся вредоносном коде — значит получить отказ и продлить санкции. Поэтому очередность важна: сначала полная чистота, потом запрос на перепроверку. Обычно метки снимаются в течение нескольких дней, и сайт снова открывается у посетителей без предупреждений, а в выдаче исчезает пометка об опасности.

Когда заражение возвращается и что с этим делать

Рецидив — самый частый повод обращения к нам после чистки у других исполнителей. Почти всегда причина одна из двух: остался незамеченный бэкдор или не закрыта точка входа. Бэкдор переустанавливает вредоносный код через несколько дней, а открытая уязвимость позволяет злоумышленнику зайти заново тем же путём. Поэтому мы и делаем акцент на двух вещах, которые часто пропускают: поиске всех скрытых входов и устранении причины. Если в гарантийный период вылеченный сайт всё же заразится тем же способом, мы устраняем это бесплатно — для нас это не риск, а следствие того, что работа сделана до конца.

Когда стоит не лечить, а восстанавливать из бэкапа

Иногда честнее не вычищать заражение по файлам, а восстановить сайт из заведомо чистой резервной копии и затем закрыть точку входа. Это оправдано, когда заражение массовое и старое, когда вредонос успел испортить данные или когда у вас есть свежий бэкап до момента взлома. Но восстановление из бэкапа без закрытия уязвимости бессмысленно: чистая копия заразится тем же путём за считанные дни. Поэтому даже при восстановлении мы обязательно находим и закрываем точку входа. На бесплатной диагностике мы прямо говорим, что в вашем случае выгоднее — точечное лечение или откат на чистую копию, и решение принимаем по реальному состоянию сайта, а не по тому, что нам удобнее.

Чем лечение у студии отличается от плагина и фрилансера

Антивирусный плагин — это автоматический сканер по сигнатурам. Он быстр и дёшев, но видит только знакомые шаблоны и почти не работает с базой данных и бэкдорами в ядре. Фрилансер, как правило, чистит файлы, но редко разбирает базу, не всегда находит точку входа и обычно не даёт гарантий. Студийный подход отличается тем, что мы относимся к лечению как к полноценной задаче: фиксируем заражённое состояние, ведём поиск вручную и по сверке с эталоном, разбираем базу, закрываем причину, снимаем блокировки и отчитываемся по каждому шагу. Это дороже одного клика, но именно поэтому сайт после нас остаётся чистым, а не затихает на пару дней.

Что вы получаете по итогу

Результат лечения — чистый сайт без вирусов, скрытых редиректов и спам-ссылок, который проходит проверку антивирусными сервисами и открывается у посетителей без предупреждений браузера. Заодно мы снимаем санкции поисковиков и метки из антивирусных баз, восстанавливаем нормальную выдачу и закрываем уязвимость, через которую произошло заражение. По завершении вы получаете отчёт: что было найдено, что удалено, через какой вектор зашли и что сделано для защиты. И гарантию на чистоту — спокойствие, что вылеченный сайт не превратится снова в источник проблем через неделю.

Какие типы заражения встречаются на Битрикс чаще всего

За сотни вылеченных сайтов набирается узнаваемый набор сценариев. Самый частый — редирект-вирус: посетителя уводит на казино, аптеку или сомнительный магазин, причём редирект почти всегда условный и срабатывает только для гостей с телефона, из поиска или из чужого региона. Второй по распространённости — спам-инжект и дорвеи: сайт тихо подмешивает в страницы ссылки или плодит чужие страницы исключительно для поисковых роботов, продвигая сторонние ресурсы за ваш счёт. Третий — раздача вредоносного кода посетителям, из-за которой браузеры помечают сайт опасным. Четвёртый — скрытое использование сервера: рассылка спама, майнинг или атаки на другие ресурсы, которые замечает только хостинг.

Каждый из этих сценариев требует своей логики поиска. Условный редирект приходится воспроизводить, подставляя нужные условия, иначе его просто не видно. Дорвеи живут в базе и подмешиваются ботам, поэтому их ищут не глазами по сайту, а разбором таблиц и сверкой выдачи. Скрытая серверная активность вообще не проявляется на страницах — её вычисляют по логам и по аномальным файлам. Универсального плагина, который одинаково хорошо ловит все эти типы, не существует, и именно поэтому лечение строится на ручном разборе, а не на одном автоматическом проходе.

Что мы проверяем перед тем, как считать сайт чистым

Лечение мы не закрываем, пока сайт не пройдёт финальную проверку по нескольким направлениям. Сначала повторно сканируем файлы и базу, убеждаясь, что инжектов и бэкдоров не осталось. Затем сверяем ядро с эталоном ещё раз — уже после восстановления, чтобы подтвердить целостность системных файлов. Проверяем сайт внешними антивирусными сервисами, как это делают браузеры и поисковики, и смотрим, что меток опасности больше нет. Воспроизводим условия, при которых раньше срабатывали редиректы, и убеждаемся, что переадресации исчезли. Прогоняем ключевые сценарии сайта — открытие страниц, формы, корзину и оплату, если они есть, — чтобы лечение не задело рабочую логику.

Только после того, как все эти проверки пройдены, мы подаём заявки на снятие блокировок и сдаём работу. Такой порядок принципиален: запрос на перепроверку при оставшемся вредоносном коде оборачивается отказом и продлевает санкции, а заявка по уже чистому сайту проходит и метка снимается. Для постоянного контроля состояния после лечения мы предлагаем подключить мониторинг и резервное копирование, который вовремя замечает повторные попытки заражения и держит под рукой свежие чистые копии сайта.

С чего начать лечение

Начните с бесплатной диагностики. Дайте нам доступ или опишите симптомы — мы оценим масштаб заражения, прикинем, файлы это, база или ядро, найдём первые следы и назовём ориентир по стоимости и срокам лечения. Если заражение угрожает данным или хостинг грозит блокировкой, беремся срочно и стартуем в день обращения. Чем раньше мы возьмёмся за заражённый сайт, тем быстрее он снова станет чистым и безопасным — и для посетителей, и для поисковиков, и для вашего бизнеса.