Вирусы Битрикс: откуда берутся и для чего используются. Пошаговое восстановление сайтов после вирусов

Начиная с конца 2022 года, сайты на платформе Битрикс подвергаются массовому заражению. Вирусы Битрикс встречаются в виде шеллов, бэкдоров и замаскированных скриптов — ниже мы с руководителем отдела разработки, Сергеем Романовым, написали подробную статью о том, откуда берутся вирусы, кому это надо и как с этим бороться собственными силами, а если нет таких возможностей к кому обратиться.

Основные причины заражения сайтов на 1С-Битрикс

Заражение сайтов на CMS 1С-Битрикс чаще всего происходит не из-за уязвимости самой платформы, а из-за ошибок в эксплуатации и недостаточного внимания к вопросам безопасности. Ниже перечислены самые распространённые причины, по которым сайты на Битрикс подвергаются взлому:

1. Устаревшие модули и ядро CMS

Многие владельцы сайтов игнорируют обновления, опасаясь, что они "сломают" текущий функционал. Однако именно старые версии модулей и самого ядра Битрикс содержат известные уязвимости, которые активно сканируются и эксплуатируются ботнетами и скрипт-киддисами. Регулярные обновления — это критически важная мера защиты.

2. Неправильные права доступа к файлам

Файлы и каталоги сайта нередко имеют слишком широкие права (например, 777 на папки), что позволяет злоумышленнику не только читать, но и модифицировать файлы. Такие настройки создают идеальные условия для загрузки и исполнения вредоносного кода. Оптимальные права: 644 для файлов и 755 для папок.

3. Слабые пароли и отсутствие двухфакторной авторизации

Администраторы часто используют простые пароли вроде admin123, а FTP-доступ и панель управления сайтом защищены слабо. Это делает перебор паролей (brute-force) лёгкой задачей. Без двухфакторной аутентификации компрометация одного аккаунта открывает полный доступ ко всей системе.

4. Нелегальные шаблоны и сторонние модули

Скачивание шаблонов и плагинов из сомнительных источников — частая причина скрытого заражения. Такие файлы часто содержат вредоносный код, замаскированный под системные функции. Без предварительного анализа или проверки на вирусы они могут стать «троянским конём» для вашего сайта.

5. Компрометация хостинга или локального устройства

Иногда вирусы попадают на сайт не напрямую, а через скомпрометированный FTP-доступ, заражённый компьютер администратора или уязвимость на стороне хостинга. Даже если сам сайт защищён, доступ к нему может быть получен обходным путём.

Как вирусы попадают на сайт

Вирусы не появляются на сайте случайно — в каждом случае есть конкретная уязвимость или слабое место в инфраструктуре, через которое происходит проникновение. Ниже — основные способы, как вредоносный код попадает на сайты, работающие на 1С-Битрикс.

1. Через уязвимости в CMS, модулях или шаблонах

Даже небольшая дыра в логике шаблона или нестандартного модуля может дать злоумышленнику возможность загрузить и исполнить вредоносный скрипт. Особенно опасны самописные решения или старые модули, не обновлявшиеся годами. Один неэкранированный параметр в URL может привести к полной компрометации сайта.

2. Взлом по FTP, SSH или через панель управления

Если пароли слабо защищены или используются по умолчанию, атакующий может получить доступ к серверу и внедрить вредоносный код напрямую. Часто такое происходит через скомпрометированные пароли или с заражённого компьютера администратора. После получения доступа вирус размещается в корневой директории, маскируется и запускается при обращении к сайту.

3. Инфекция через сторонние библиотеки и интеграции

Плагины для CRM, внешние скрипты, аналитика, рекламные баннеры — всё это может быть источником заражения. Злоумышленники внедряют вредоносный код в сторонние ресурсы, а сайт, загружая их, начинает выполнять заражённые скрипты.

4. Невнимательность при миграции или восстановлении из бэкапа

Иногда вирус "приходит" вместе с восстановленным сайтом — если заражение уже присутствовало в резервной копии, администратор фактически возвращает проблему на место. Без сканирования и очистки бэкапа восстановление может усугубить ситуацию.

5. Через браузерные эксплойты и вредоносные расширения

Реже, но всё же встречается — если администратор использует вредоносное расширение для браузера, оно может внедрять скрипты или похищать доступы при входе в админку Битрикс. Такая атака сложно отслеживается и часто остаётся незамеченной.

Для чего внедряют вирусы

Вот основные причины:

• Кражи информации: Злоумышленники могут использовать вредоносные программы для кражи личной информации пользователей, такой как данные банковских карт, пароли, адреса электронной почты и другие конфиденциальные сведения
• Распространения спама: Вирусы на сайте могут быть использованы для отправки спама, в том числе через скрытую почтовую рассылку или размещение спам-ссылок.
• Ущербу репутации: Злоумышленники могут заразить сайт с целью распространения вредоносного контента или вредоносных рекламных материалов, что может нанести ущерб репутации владельцу сайта.
• Внедрения вредоносных скриптов: В некоторых случаях сайты могут быть заражены с целью внедрения вредоносных скриптов на компьютеры посетителей для дальнейшего контроля их действий или нанесения вреда.

Это лишь несколько примеров, и важно понимать, что заражение сайтов вирусами может привести к серьезным последствиям как для владельцев сайтов, так и для их посетителей.

Распространённые вредоносные файлы на сайтах Битрикс

После взлома сайта злоумышленники редко ограничиваются одним способом внедрения. Обычно они размещают целый набор вредоносных файлов — от простых шеллов до сложно замаскированных скриптов, встроенных в системные компоненты CMS. Вот самые часто встречающиеся типы вредоносных файлов на Битриксе:

Accesson.php — универсальный бэкдор

Этот файл обычно размещается в директории /bitrix/admin/ и позволяет выполнять любые PHP-команды прямо с браузера. Часто он замаскирован под системный файл и может не сразу вызывать подозрение. Через accesson.php можно загружать новые вирусы, изменять файлы сайта, выполнять SQL-запросы и даже скачивать дампы базы данных. 

Признаки:

• Наличие файла с этим именем вне стандартного дистрибутива;
• В коде содержатся конструкции eval(), base64_decode() или system().

Shell.php, cmd.php, ws.php — прямой доступ к серверу

Так называемые веб-шеллы дают злоумышленнику удалённый терминал в браузере. Через них можно управлять файлами, правами доступа, запускать скрипты. Они часто имеют простейший интерфейс с формой для ввода команд, но могут быть зашифрованы или выглядеть как обычный скрипт.

Признаки:

• Имя файла не связано с Битрикс;
• Наличие подозрительных форм в интерфейсе;
• Использование функций exec(), passthru(), popen().

Поддельные или маскирующиеся файлы: bitrix.php, cache.php, seo_.php

Многие вредоносные скрипты стараются «слиться» с окружением, подделывая имя под системный файл. Они размещаются в папках /bitrix/, /local/, /upload/, где редко проверяются вручную. Часто эти файлы шифруются и содержат длинные строки base64, чтобы затруднить анализ.

Признаки:

• Несвойственное поведение при открытии;
• Дата изменения не совпадает с другими файлами;
• Имя файла похоже на служебное, но отсутствует в официальной сборке CMS.

Модифицированные системные файлы: init.php, dbconn.php, urlrewrite.php

Один из самых коварных подходов — встроить вирус в существующие важные файлы. Например, в init.php добавляют вредоносный код в начало файла, чтобы он исполнялся на каждом запуске сайта. Такие вирусы незаметны для пользователя и работают постоянно.

Признаки:

• Лишние строки в самом начале файла.;
• Подозрительные конструкции: if(isset($_POST['...'])) eval(...);
• Необъяснимый рост размера файла.

Ниже мы разберём не только сами вредоносные файлы, но и места, где они чаще всего прячутся в структуре сайта.

Популярные места размещения вирусов

Вирусы в файле index.php на сайтах Битрикс

Файл index.php является точкой входа на большинстве сайтов, включая те, что работают на CMS 1С-Битрикс. Злоумышленники часто выбирают его для внедрения вредоносного кода, поскольку он гарантированно выполняется при каждом обращении к сайту.

Признаки заражения файла index.php::

• Появление незнакомых строк кода, особенно в начале или конце файла;
• Использование функций eval(), base64_decode(), gzinflate();
• Необъяснимые редиректы на сторонние ресурсы;
• Изменение даты последнего редактирования файла без причины.

Рекомендации по устранению:

• Сравните файл с оригинальной версией из дистрибутива или бэкапа;
• Удалите все подозрительные участки кода;
• Проверьте другие файлы, особенно в /bitrix/ и /local/;
• Используйте антивирус, например bitrix.xscan;
• Обновите CMS и модули до последних версий.

Вирусы в .htaccess на сайтах Битрикс

Вирус может менять правила перенаправлений, чтобы трафик сайта уходил на сторонние ресурсы — фишинговые страницы, спам-лендинги или вредоносные скрипты. Такой вирус в .htaccess Битрикс часто называют типичным примером скрытого взлома сайта. Иногда файл .htaccess также используется для блокировки доступа к админке реальным пользователям, но при этом оставляет лазейки для злоумышленников.

Признаки заражения файла index.php::

• Подозрительные редиректы (RewriteRule на неизвестные домены);
• Условия с IP-адресами или фильтрами User-Agent;
• Множественные .htaccess в нестандартных местах.

Заражение через темы и шаблоны Битрикс

Вредоносный код в шаблонах Аспро и других популярных темах

Иногда заражение происходит не из-за внешнего вторжения, а уже «изнутри» — через используемый шаблон. Некоторые версии популярных коммерческих шаблонов, таких как Аспро (Aspro), особенно скачанные с неофициальных источников, могут содержать вредоносные вставки. Это может быть скрытый JavaScript, SEO-редиректы или встроенные PHP-бэкдоры.

Признаки:

• Странные редиректы при открытии страниц сайта;
• Ссылки на сторонние ресурсы в коде страниц
• Модифицированные файлы шаблона (footer.php, header.php, init.php, template.php).

Рекомендации:

• Сравните шаблон с оригинальной версией;
• Просканируйте сайт антивирусом на хостинге;
• Переустановите тему из официального источника

Когда началась волна заражения сайтов на Битрикс

Совпадение это или так сложилось, но первая серьезная волна заражения началась в первом-втором квартале 2022 года.

К концу 2023 года Битрикс обновил свою Проактивную защиту и добавил в нее Антивирус, который позволяет на данный момент увидеть зараженные файлы, проверить их и в случае необходимости либо удалить, либо добавить в карантин. Важный момент, Антивирус доступен в обновлениях 2023 года и для того, чтобы его получить, необходимо иметь активную лицензию.

Общие признаки атаки вируса на сайт Битрикс

Что же делать и как быть тем, кто столкнулся с недоступностью сайта, c 500 ошибкой, недоступностью админки для пользователя и др. проявлениями заражения. Давайте пройдемся и пошагово покажем вам все этапы очистки сайта от вирусов, его восстановлении и дальнейших рекомендациях.

Первое и важное, проявления заражения вирусами платформы Битрикс, да и других платформ могут быть абсолютно разными. Ниже с чем сталкивались мы:

Проверка сайтов Битрикс самостоятельно: пошаговая инструкция

Шаг 1: Проверьте целостность шаблона и главной страницы Битрикс

Для этого необходимо подключиться к сайту по ftp/sftp или файловому менеджеру хостинг провайдера и зайти в корневую директорию, где находятся файлы сайта на Битрикс.

Первым делом мы должны проверить файл index.php, .htaccess и urlrewrite.php

На данном этапе может быть три варианта событий с файлом index.php:

— index.php может быть полностью заменен на файл трояна, а родной файл index.php переименован.

— index.php может быть изменен и добавлен php код в начало страницы

В этом случае вам необходимо удалить весь лишний код, который как правило подключается в начале страницы (см пример выше, смело удаляйте до строчки подключения header.php)

— index.php может быть удален и заменен на файл трояна. Данный случай крайне не приятный и как правило происходит в том случае если троян сидит на сайте длительное время (об этом ниже более подробно будет описано). В данном случае есть два варианта (первый вариант если у вас есть бэкапы, то следует откатить файл на дату, при которой изменений в данном файле нет, если же бэкапы отсутствуют, то в зависимости от структуры данного файла и его компонентной базы, можно восстановить используя верстку или вебархив).

Также и с файлом .htaccess и urlrewrite.php:

— htaccess, urlrewrite.php может быть полностью заменен, а родной файл лежать в корне с другим наименованием

— htaccess может быть полностью заменен и удален родной файл

— htaccess может быть полностью удален

На примере сайта клиента мы видим, что файл .htaccess отсутствует, в файле index.php и urlrewrite.php нет изменений. 

Поэтому мы загружаем родной файл .htaccess Битрикс. Кому необходимо могут его скачать ниже к статье, где приложены все файлы, которые могут понадобиться для восстановления сайта на Битрикс после заражения вирусами.

Скачиваем и заливаем его в корень, если есть изменения в файле вы можете его удалить и залить также новый файл.

Шаг 2: Проверяем сайт на сторонние папки и файлы

Трояны, которые сейчас встречаются, создают дополнительные файлы и папки.

Первым делом необходимо удалить те файлы, которые блокируют доступ к папкам Битрикс и к разделам сайта.

Например, может быть доступна главная страница сайта, а каталог сайта не доступен или не доступна административная часть. Как правило это из-за сторонних файлов .htaccess

Достаточно его удалить из корня папки, но это только 1 файл, как правило сейчас они создаются массово по множеству папок и тут лучше зачистить все данные файлы с помощью ssh.

Ниже представлен алгоритм очистки:

- Удаление всех файлов .htaccess (после удаления не забудьте проверить наличие и и если его нет, то залить родной файл в корень сайта)

Лучше всего удалить данные файлы поможет команда ssh следующего содержимого:

find . -type f -perm 0444 -name ".htaccess" -delete;

либо

find . -type f -perm 0644 -name ".htaccess" -delete;

Далее необходимо удалить файлы и папки, которые были созданы трояном в структуре Битрикс. Если знаний файловой структуры не высокие у специалиста, можно удалить нужные файлы или папки, поэтому важно восстановить в первую очередь доступ в административную часть сайта, а потом используя встроенные инструменты Битрикс или модуль Антивирус, найти зараженные файлы и добавить все либо в карантин, либо удалить.

Также вирус создает другие файлы и папки. Для быстроты процесса, можно воспользоваться командой ssh и удалить все файлы созданные после даты, которые были созданы после недоступности сайта.

Задача, сводится к тому, чтобы запустить админку сайта.

Шаг 3: Проверка bx_root.php

В первых атаках, подвергался файл bx_root.php изменениям. Данный файл находится по адресу:

/bitrix/modules/main/

Ниже в статье можно скачать оригинальный файл Битрикс, либо удалите старый файл и залейте новые, либо замените содержимое.

Лечение вирусов на сайте Битрикс

Если нет лицензии: модуль bitrix.xscan

Лечение вирусов в Битрикс возможно даже без активной лицензии — с помощью утилиты bitrix.xscan. Это бесплатный антивирусный сканер от самой 1С-Битрикс, который раньше входил в состав системы безопасности, пока её не включили в ядро с версии "Старт". Модуль позволяет проанализировать файлы сайта и обнаружить следы заражения даже в скрытых или замаскированных скриптах.
Установка простая, загружаете архив в папку 

bitrix/modules

Распаковываете его, название в папке должно быть 

bitrix.xscan

После того, как распаковали, переходите по ссылке 

/bitrix/admin/partner_modules.php?lang=ru

и проводите установку данного модуля.

Ищем зараженные файлы (переходим по ссылке /bitrix/admin/bitrix.xscan_worker_fork.php)

Важный момент, файлы не все зараженные. Антивирус ищет подозрительные файлы, смотрите на дату изменения файлов и на содержимое, если не уверены, то не удаляйте, а добавляйте файлы в карантин.

Если активная лицензия на Битрикс есть

Если у вас есть активная лицензия на Битрикс и после манипуляций п.1 и п.2 получилось попасть в админку, то вам необходимо накатить последние изменения и обновления ядра Битрикс Управление сайтом.

В административной части сайта появиться модуль Проактивная защита, с последними обновлениями и проводим такие же манипуляции как в п.3 (только данные пункты доступны в разделе Проактивная защита).

Проверка Агентов Битрикс

Мы ни разу в практике не видели сторонние агенты на сайте, но пишут, что они создаются.

Поэтому рекомендуем посмотреть вкладку Агенты и удалить сторонние.

Проверка списка пользователей

В одном из последних вылеченных сайтов мы заметили, что в дату заражения был создан юзер см скриншот ниже. Также удаляем всех пользователей, которые были созданы не вами.

Если ваш сайт не содержит Личный кабинет/Регистрацию и тд у пользователей, рекомендуем удалить папку в корне сайта /auth.

И отключите возможность самостоятельной регистрации пользователей в Настройках Главного модуля (ссылка /bitrix/admin/settings.php?lang=ru&mid=main&mid_menu=1 )

Очистка Bitrix кэша

Файлы вируса также могут быть в папках с кэшем.

Необходимо удалить содержимое следующих папок:

/bitrix/cache/

и

/bitrix/managed_cache

Антивирус Битрикс: поиск вирусов и троянов на сайте через bitrix.xscan и проактивную защиту

Для защиты от вредоносного кода, а также для поиска вирусов Битрикс, включая скрытые скрипты и трояны в структуре сайта, рекомендуется использовать модуль bitrix.xscan. Он поможет организовать поиск троянов на Битриксе, в том числе если сайт работает без активной лицензии. Данный модуль можно скачать в конце статьи — он позволяет вручную просканировать файлы, найти подозрительные участки кода, бэкдоры и попытки скрытого доступа. Если у вас есть активная лицензия, то используйте встроенную Проактивную защиту Битрикс, которая работает в реальном времени и позволяет оперативно обнаруживать вредоносную активность.

Рекомендации, как защитить сайты на Битрикс от вирусов

В статье мы рассмотрели максимально оптимальный вариант шагов для восстановления доступа к сайту и очистки его от вирусов.

• Переведите сайт на PHP версии 8+
• Обновите Битрикс до актуальной версии (для обновления нужна Активная лицензия)
• Проверяйте сайт на Вирусы с помощью Проактивной защиты или модуля bitrix.xscan
• Обязательно! Устанавливайте сертификаты безопасности для сайта SSL либо платные, либо бесплатные

Вирусы в 1С- Битрикс 2025: предупреждение и рекомендации

В марте 2025 года были зафиксированы единичные случаи заражения сайтов — вирусы распространялись через уязвимости в устаревших версиях следующих решений.

От компании «eSolutions»:

• «Многофункциональный экспорт/импорт в Excel»
• «Экспорт/Импорт товаров в Excel»
• «Импорт из XML, YML, JSON. Загрузка каталога товаров»
• «Массовая обработка элементов инфоблока (товаров)»

От компании «Маяк»:

• «Экспорт в Excel. Выгрузка каталога товаров. Создание прайс-листа»
• «Импорт из Excel. Загрузка каталога товаров»

По данным Центра мониторинга, разработчик исправил уязвимости в этих решениях ещё в 2023 году и выпустил патчер. Однако некоторые владельцы сайтов пренебрегли обновлением, что сделало их ресурсы уязвимыми для атак.

Если ваш сайт использует решения от «eSolutions» и «Маяк», необходимо срочно проверить их актуальность.

Файлы: стандартный htaccess, urlrewrite, bitrix.xscan

1. htaccess.tar.gz
2. urlrewrite.tar.gz
3. Поиск троянов (bitrix.xscan).zip