Что делать, если сайт на 1С-Битрикс взломали
Взлом сайта — ситуация, в которой важен порядок действий. Самая частая ошибка: сразу удалить подозрительные файлы и восстановиться из копии. После этого непонятно, как попали внутрь, и через сутки всё повторяется.
Порядок действий
- Закройте сайт от посетителей: технические работы лучше, чем раздача вредоносного кода.
- Сделайте копию текущего состояния вместе с журналами веб-сервера — это понадобится для разбора.
- Смените пароли: административной части, базы данных, FTP и SSH, почтовых ящиков. Отзовите ключи доступа и вебхуки.
- Посмотрите список администраторов сайта и активные сессии: лишние учётные записи удалите.
- Найдите изменённые и новые файлы по дате изменения, проверьте каталоги загрузок — там чаще всего лежат веб-шеллы.
- По журналам найдите точку входа: какой адрес вызывали перед появлением файлов.
- Закройте уязвимость: обновите продукт и модули, уберите небезопасные решения, исправьте права на файлы.
- Вычистите код и проверьте сайт сканером проактивной защиты, затем откройте его и следите за журналами несколько дней.
Что чаще всего становится точкой входа
- Необновляемый сайт. Известная уязвимость ядра или модуля — самый частый путь, см. обновление 1С-Битрикс.
- Старый PHP на сервере. Уязвимости окружения закрываются обновлением системы, а не продукта — пример разбирали в материале про уязвимости PHP.
- Слабые пароли и общий доступ. Один пароль на всех подрядчиков переживает смену всех подрядчиков.
- Заброшенные решения Маркетплейса. Модуль не обновлялся три года — он и есть дверь.
- Открытые служебные файлы. Резервные копии и дампы, доступные по прямой ссылке.
Разбор инцидента и восстановление мы делаем в рамках поддержки сайта; проверить сайт на типовые проблемы безопасности можно экспресс-аудитом за минуту.
Частые вопросы
Можно ли просто восстановить сайт из резервной копии?
Восстановление убирает последствия, но не причину. Если точка входа — уязвимость в устаревшем модуле или украденный пароль, сайт взломают снова в течение суток. Сначала находят и закрывают дыру, потом восстанавливают.
Как понять, что сайт заражён?
Признаки: предупреждение браузера или поисковика, редиректы посетителей на чужие сайты, незнакомые файлы и администраторы, всплеск исходящих писем, рост нагрузки без роста посещаемости. Проверьте журналы веб-сервера и дату изменения файлов.
Что делать в первую очередь?
Закрыть сайт от посетителей, сделать копию текущего состояния вместе с журналами (это доказательная база), сменить все пароли и ключи. Только после этого начинать чистку — удалённые второпях файлы лишают возможности понять, как попали внутрь.
