Взломаны сайты в честь дня конституции украины

Закрыть post запросы к определенные файлам?

Как уже неоднократно писали в этой теме, то вот одни из файлов, которые могу быть подвержены эксплоиту

• bitrix/modules/main/bx_root.php
  
• bitrix/modules/main/include/prolog_after.php
  
• bitrix/modules/fileman/admin/fileman_html_editor_action.php
  
• (...)
  

Можно дополнить этот список, чтобы другим людям не приходилось искать заново.
Были такие сайты, где просто нереально обновить ядро Битрикса и приходится фиксить вручную

Так же помогает модуль marketplace.1c-bitrix.ru/bitrix.xscan с поиском зараженных файлов. На некоторых сайтах он системные файлы тоже помечал как подозрительные, но в некоторых на самом деле всё в порядке.

Тоже сегодня поймали на одном из сайтов "Мы IT Армия Украины! Ваши личные данные слиты в сеть!" и далее по тексту. Накатил бэкап, сменил пароли админов, почистил то что нашел marketplace.1c-bitrix.ru/bitrix.xscan, вроде пока все нормально. Но блин непонятно как эта зараза вообще попала к нам. Сайт только неделю назад  вместе со всеми модулями полностью обновили до последней версии, плюс перевели на php 8.1. И тут такое =( И зачем тогда все эти обновления?

Объясните кто знает, как правильно защититься от этого бреда в будущем? И почему блин владельцы и разрабы битрикса, беря с нас кучу денег за лицензию, не могут сделать защиту хотя бы от всяких элементарных eval-лов и создания совершенно левых файлов в системных каталогах? Ну можно же какую-то проверку целостности запилить, встроенный сканер какой-то с предупреждениями заранее и тд =(

В поддержку писали?
Пишите, напишите сюда ответ.
Мне помогли, больше проблем нет.
Если все обновили, а проблема остается, значит остался скрипт. Уже в этой ветки писали, как решить проблему.  

Ну на данный момент мы тоже вроде все решили, да. В поддержку не обращались. А что вам там ответили, какие инструкции/советы написали?

Добрый день!

Такая же история.

В добавок к этому оказались заблокированы интернет провайдерами домены, но только на 443-м порту и только главное зеркало. Причем также оказались заблокированы по https даже домены которые работали только по http. По https главное зеркало открывается только через VPN. В реестре заблокированных сайтов ничего не находит. Смена IP-адреса сайта не помогла. Причем если главное зеркало к примеру без www, то с www через https все работает. На 80-м порту работают оба, как с www так и без www.

Может кто сталкивался? И какие действия предпринять для разблокировки?

От провайдеров никаких объяснений не было. Я предполагаю, что блокировка была автоматической со стороны РКН по причине взлома сайтов хакерами соседнего государства и размещения на них некорректного обращения, о котором идет речь выше в других постах.

Может кто подскажет, какие действия предпринять для разблокировки? Или разблокировка может произойти так же автоматически через некоторое время?

движек нужно обновлять регулярно, если у вас он до этой недели жил без обновлений - это было время "открытых дверей" и скорее всего уже напихали бэкдоров "по самое не хочу" и теперь обновление уже никак не поможет - только чистка в ручном режиме

и судя по тому, что взломали далеко не все сайты на движке Битрикс (тьфу тьфу тьфу у моих клиентов полёт нормальный) причина не в какой то новой уявзимости движка

ещё нужно понять откуда у вас в spread.php такой код

Ничего не находит, пробовал и домен и URL и IP указывать:

https://eais.rkn.gov.ru/ - По Вашему запросу ничего не найдено

Может кто знает, как разблокировать? Или просто подождать какое-то время?

сюда напишите URL и IP
вместе посмотрим

на 443 порт цепляется, отваливается по таймауту - смотрите по логам хостера, чего там происходит
ну и в саппорт хостеру отпишите