Восстановление сайта на Битрикс после хакерской атаки и вирусов

Восстановление после хакерской атаки и вирусов — это полноценное лечение взломанного сайта на 1С-Битрикс, а не косметическое удаление того, что бросается в глаза. Когда сайт взламывают, злоумышленник почти никогда не ограничивается одним вредоносным файлом. Он заливает веб-шелл для управления, прячет несколько бэкдоров для повторного входа, внедряет редиректы и скрипты в шаблоны, вставляет инъекции в базу данных, заводит чужих администраторов и нередко запускает спам-рассыльщик или майнер. Наша задача — найти и убрать всё заражение целиком, восстановить целостность сайта и закрыть саму уязвимость, через которую его взломали, чтобы атака не повторилась.

Опасность взлома в том, что он часто протекает тихо. Сайт продолжает работать, владелец не видит проблем, а вредоносный код в это время перенаправляет посетителей на сторонние ресурсы, ворует данные, рассылает спам или майнит криптовалюту. Первыми тревогу обычно бьют не люди, а системы: поисковик помечает сайт как опасный, браузер показывает красный экран, хостинг присылает уведомление о вредоносах или блокирует аккаунт за спам. К этому моменту репутация уже страдает, а трафик падает. Поэтому лечить заражённый сайт нужно срочно, и мы берём такие заявки в работу в день обращения.

Из чего складывается восстановление после атаки

Лечение сайта — это последовательность связанных шагов, где каждый закрывает свой кусок проблемы. Сначала идёт диагностика: мы снимаем образ сайта и базы, сканируем файлы и таблицы, оцениваем масштаб заражения и тип вредоносов. Затем удаляем вредоносный код из файлов, шаблонов и базы, отдельно вычищаем шеллы, бэкдоры, спам-рассыльщики и майнеры. После этого восстанавливаем целостность: сверяем ядро и модули Битрикс с эталоном, возвращаем оригинальные файлы и подменённый контент. И наконец закрываем точку входа — находим уязвимость, устраняем её, меняем все пароли и ключи и проверяем результат повторным сканированием.

Главные узлы работы по восстановлению сайта:

• поиск и удаление вредоносного кода, редиректов и скрытых скриптов в файлах и шаблонах;
• зачистка веб-шеллов, бэкдоров и закладок для повторного входа злоумышленника;
• чистка базы данных от инъекций, чужих ссылок, спам-записей и лишних администраторов;
• восстановление целостности ядра и модулей Битрикс по эталону, возврат оригинальных файлов;
• смена паролей админки, FTP, базы и хостинга, обновление ключей и обнуление чужих сессий;
• поиск и закрытие точки входа, повторная проверка и отчёт с причиной взлома.

Кому нужно восстановление после взлома

Услуга нужна, когда сайт уже атакован, а ещё лучше — при первых тревожных признаках, пока заражение не разрослось. Это владельцы интернет-магазинов, у которых посетителей перебрасывает на чужие ресурсы, а поисковик режет трафик из-за метки опасности. Это компании, чей сайт хостинг заблокировал за рассылку спама или вредоносные файлы. Это порталы и корпоративные сайты, на которых появились чужие ссылки и баннеры, незнакомые администраторы в админке или странные файлы в корне. Чем раньше начать лечение, тем дешевле оно обходится и тем проще найти точку входа по свежим логам.

Отдельная категория — те, кто уже пытался почистить сайт сам или антивирусом хостинга, но заражение вернулось. Это типичная ситуация: автоматические сканеры убирают видимые вредоносы по сигнатурам, но не находят бэкдоры и не закрывают уязвимость, поэтому злоумышленник возвращается через закладку буквально за день. Мы лечим иначе — ищем все точки повторного входа и устраняем причину, а не симптом.

Как устроено лечение и почему важна целостность ядра

Сайт на Битрикс имеет понятную структуру ядра и модулей, и это наше преимущество при лечении. Мы сверяем системные файлы с эталоном соответствующей версии и сразу видим, что подменено или добавлено вредоносного. Это позволяет отличать заражённый код от рабочего и не ломать сайт при чистке — в отличие от автоматических антивирусов, которые иногда вырезают легитимные участки кода вместе с вредоносами. Восстановление целостности ядра гарантирует, что после лечения сайт работает корректно, а скрытых закладок в системных файлах не осталось.

Завершается восстановление закрытием точки входа и сменой всех доступов. Мы находим уязвимость, через которую взломали — устаревший модуль, слабый пароль, дыру в самописном компоненте — и устраняем её. Меняем пароли админки, FTP, базы и панели хостинга, обновляем ключи и сессии, считая все прежние доступы скомпрометированными. После этого прогоняем повторное сканирование, убеждаемся, что сайт чист, и присылаем отчёт с причиной взлома, перечнем найденных вредоносов и рекомендациями по защите. Если сайт был помечен поисковиком или заблокирован хостингом, сопровождаем снятие санкций до полного восстановления репутации.

Результат восстановления после хакерской атаки — это снова чистый, рабочий и защищённый сайт. Вредоносный код, шеллы и бэкдоры удалены, база и ядро в порядке, контент восстановлен, доступы сменены, а уязвимость закрыта, чтобы взлом не повторился. Вы получаете не только вылеченный сайт, но и понимание, как его атаковали и что сделать, чтобы это не случилось снова.

Когда сайт взломали, первый порыв понятен: запустить антивирус хостинга, удалить пару подозрительных файлов и выдохнуть. На бумаге это выглядит как быстрое и бесплатное решение. На практике автоматическая чистка по сигнатурам почти никогда не лечит сайт по-настоящему — она убирает то, что распознаёт по базе известных вредоносов, но не находит свежие и замаскированные закладки и, главное, не закрывает уязвимость, через которую сайт взломали. В результате злоумышленник возвращается через бэкдор за считанные часы, и владелец оказывается в бесконечном цикле: почистил — заразили снова. Ниже разбираем, почему так происходит и чем отличается настоящее восстановление.

Почему заражение возвращается снова и снова

Взлом — это не один вредоносный файл, а целый набор. Получив доступ, злоумышленник первым делом закрепляется: разбрасывает по сайту несколько бэкдоров в разных местах, прячет их в легитимных на вид файлах, в базе, иногда в самих системных файлах ядра. Один шелл лежит в загрузках, другой дописан в начало рабочего скрипта, третий замаскирован под картинку. Антивирус находит самый очевидный, владелец радостно его удаляет — а остальные продолжают работать. Через любую оставшуюся закладку взломщик заходит снова и восстанавливает всё заражение.

Вторая причина рецидива — открытая точка входа. Даже если каким-то чудом убрать все закладки, но не закрыть уязвимость, через которую сайт взломали изначально, его атакуют заново. Уязвимые сайты ищут автоматические боты, которые круглосуточно сканируют сеть на известные дыры. Устаревший модуль с публичной уязвимостью — это приглашение, и его примут в течение дня. Поэтому удаление вредоносов без закрытия точки входа — это не лечение, а отсрочка.

Что делает настоящее восстановление

Полноценное лечение строится на трёх китах: убрать всё заражение, вернуть целостность и закрыть причину. Мы не ограничиваемся сигнатурным поиском — сканируем файлы эвристикой, ищем обфускацию, нетипичные конструкции и подозрительные участки кода, а параллельно сверяем ядро и модули Битрикс с эталоном, чтобы найти подменённые и посторонние файлы. Базу проверяем на внедрённые ссылки, скрипты, спам-записи и лишних администраторов. Так мы находим не только видимое заражение, но и спрятанные закладки, которые автоматика пропускает.

Восстановление целостности — это то, чего автоматический антивирус в принципе не делает. Он не знает, как должен выглядеть оригинальный файл ядра, поэтому либо пропускает заражённый системный файл, либо вырезает из него рабочий код вместе с вредоносом и ломает сайт. Мы сверяем каждый системный файл с эталоном версии и возвращаем оригинал, а самописные компоненты и шаблоны проверяем вручную. Сайт после такой чистки работает корректно, без вырезанных кусков и без оставшихся закладок.

Поиск точки входа — главное отличие

Самая ценная часть работы — найти, как именно взломали сайт. Мы анализируем логи доступа, время появления вредоносных файлов, версии модулей и состояние самописного кода, чтобы определить конкретную уязвимость: устаревшее ядро, дыру в компоненте, слабый или утёкший пароль, заражённый компьютер веб-мастера. Найдя точку входа, мы её закрываем и проверяем, что других нет. Это превращает разовую чистку в настоящее восстановление: сайт не просто становится чистым, а перестаёт быть лёгкой целью. Если параллельно нужно устранить накопившиеся дыры, мы предлагаем защиту и устранение уязвимостей как отдельный этап.

Когда хватит чистки, а когда нужна полная защита

Мы не навязываем всем максимальный пакет. Если сайт заражён недавно, точка входа очевидна, а резервная копия чистая, иногда достаточно экспресс-лечения: убрать вредоносы, закрыть дыру, сменить пароли. Если же взлом старый, заражение разрослось, бэкапов нет или они уже заражены, нужна глубокая чистка с восстановлением целостности и поиском всех закладок. А если сайт критичен для бизнеса и атаки повторяются, имеет смысл сразу выстроить защиту: обновить ядро, настроить права и веб-сервер, включить мониторинг. На бесплатной диагностике мы честно говорим, что нужно именно вашему сайту, а не продаём лишнее. Если задача шире и речь идёт о системной чистке от вирусов, может подойти услуга удаление вирусов и восстановление после взлома.

Как мы ведём лечение по шагам

Старт — это срочная диагностика. Мы снимаем образ сайта и базы для безопасного разбора, оцениваем масштаб заражения и тип вредоносов, при необходимости временно закрываем сайт заглушкой, чтобы заражение не распространялось и поисковики не индексировали вредоносные страницы. Дальше идёт удаление вредоносного кода из файлов, шаблонов и базы, зачистка шеллов, бэкдоров, рассыльщиков и майнеров. Каждый подозрительный участок проверяем, чтобы не задеть рабочий код.

Следующий шаг — восстановление целостности ядра и модулей по эталону и возврат подменённого контента. Затем закрываем точку входа, меняем все пароли и ключи, обновляем сессии и права доступа. Финал — повторное сканирование, которое подтверждает чистоту, и отчёт с причиной взлома, перечнем найденных вредоносов и рекомендациями. Если сайт был помечен поисковиком или заблокирован хостингом, сопровождаем снятие санкций до полного восстановления репутации.

Гарантии и прозрачность

Объём и стоимость лечения мы называем после диагностики, а не до неё — невозможно честно оценить заражение вслепую. Бесплатная диагностика показывает реальную картину: сколько заражённых файлов, какие закладки, где точка входа. По её итогам вы получаете понятную смету без сюрпризов. После лечения даём гарантийный период: если в нём проявятся следы того же заражения, доводим работу без доплаты. Все технические доступы, которыми мы пользовались, по завершении отзываются, а финальные пароли вы меняете на свои — сайт остаётся полностью под вашим контролем.

Возражения, которые мы слышим чаще всего

«У меня уже почистили, зачем платить ещё раз». Если заражение вернулось, значит, в прошлый раз убрали симптом, а не причину. Мы как раз находим и закрываем точку входа, поэтому повторного захода не будет. Часто к нам приходят именно после неудачной самостоятельной чистки или работы автоматики — и удивляются, сколько закладок осталось незамеченными.

«Проще удалить всё и поставить заново». Иногда это разумно, но чистая переустановка не вернёт ваш контент, настройки и данные, а если бэкап заражён, вы просто перенесёте заражение в новую копию. Кроме того, переустановка не закрывает уязвимость в самописном коде или на хостинге. Мы сначала находим причину, а потом решаем, что выгоднее: вылечить текущий сайт или поднять чистую копию и закрыть дыру.

«Это срочно, а вы будете долго разбираться». Наоборот, мы берём заражённые сайты в работу в день обращения, включая ночь и выходные, и в типовых случаях снимаем активное заражение за день. Глубокая чистка и закрытие точки входа занимают чуть больше, но самое опасное — активный вредонос и блокировки — мы убираем в первую очередь, чтобы остановить потери.

Что вы получаете в итоге

По завершении восстановления у вас снова чистый, рабочий и защищённый сайт: без вредоносного кода, шеллов и бэкдоров, с восстановленным ядром и контентом, сменёнными паролями и закрытой точкой входа. Метки опасности в поиске и браузерах сняты, блокировка хостинга устранена, спам-рассылка остановлена. Вместе с сайтом вы получаете отчёт, который объясняет, как вас атаковали и что сделать, чтобы это не повторилось. Если хотите спать спокойно, можно оставить нас на сопровождении с мониторингом целостности и резервным копированием — тогда любая новая попытка взлома будет замечена сразу. А если параллельно сайт пострадал технически и нужно вернуть его в рабочее состояние целиком, поможет услуга восстановление сайта.

Важно понимать и то, что восстановление после взлома — это всегда работа с доверием. Сайт для бизнеса часто хранит данные клиентов, заказы, переписку, и сам факт взлома вызывает закономерную тревогу: что утекло, кто имел доступ, можно ли вообще теперь доверять этому сайту. Мы относимся к этому серьёзно: разбираем по логам, к каким данным был доступ, честно пишем в отчёте, что удалось установить и что осталось под вопросом, и не приукрашиваем картину. Если есть основания уведомить клиентов или сменить чувствительные данные, мы прямо об этом говорим. Прозрачность здесь важнее, чем желание поскорее закрыть заявку, потому что недосказанность в вопросах безопасности обходится бизнесу дороже самого взлома.

Типичные виды заражения, с которыми приходят

Заражение на взломанном сайте редко бывает одного вида — обычно это смесь нескольких. Самый частый и заметный — вредоносные редиректы: посетителя или поискового бота перебрасывает на сторонний ресурс, при этом владелец, заходя напрямую, ничего не видит, потому что переадресация настроена выборочно. Второй распространённый случай — внедрение чужих ссылок и текста в страницы через инъекцию в базу: на сайте появляются ссылки на сторонние ресурсы, которые роняют его репутацию в поиске. Третий — спам-рассыльщик: скрытый скрипт шлёт письма от имени вашего домена, из-за чего домен попадает в чёрные списки, а письма перестают доходить.

Отдельно стоят скрытые угрозы, которые не видны на страницах. Майнер криптовалюты нагружает сервер и замедляет сайт, не оставляя видимых следов, кроме скачков нагрузки. Веб-шелл даёт злоумышленнику полный пульт управления сайтом и сервером. Фишинговые страницы, подброшенные в скрытые папки, используют ваш домен для обмана чужих посетителей — а отвечать перед хостингом и поисковиками за них приходится вам. Каждый из этих типов требует своего подхода к поиску, и автоматический сканер по сигнатурам видит хорошо если половину из них. Мы же проверяем сайт по всем направлениям сразу, чтобы не осталось ни одной активной угрозы.

Почему скорость реакции напрямую влияет на стоимость

Чем дольше сайт остаётся заражённым, тем дороже обходится и лечение, и последствия. Свежий взлом легче разобрать: логи доступа ещё хранят следы, точка входа на виду, заражение не успело глубоко разрастись. Через неделю-другую логи затираются ротацией, злоумышленник успевает доставить новые закладки и закрепиться основательнее, а поисковики и хостинг уже накладывают санкции, снимать которые потом приходится отдельно. Параллельно копятся прямые потери: посетители видят предупреждение браузера и уходят, заявки не поступают, трафик из поиска падает из-за метки опасности.

Поэтому экстренная диагностика в день обращения — это не маркетинг, а реальная экономия. Чем быстрее мы снимем образ сайта и остановим активное заражение, тем меньше успеет натворить вредонос и тем проще будет найти причину по горячим следам. Калькулятор на этой странице помогает прикинуть, во что обходится каждый день простоя именно вашему сайту — и почему откладывать лечение почти всегда дороже, чем начать его сразу.