|
Разработчикам |
Вполне возможно, что уже начались целевые атаки на основе поиска уязвимостей не АСПРО, а на основе анализа кода конкретного проекта, который мог быть скачан во время предыдущего заражения. |
|||||
|
|
|
|
Тоже на проектах были установлены модули kda и esol, анализируем сейчас логи.
|
|
|
|
|
|
у меня не было модулей kda и esol, был только сайта на аспро. Снес его и вирусов не стало.
Косяк от аспро нереальный, конечно |
|
|
|
|
|
еще один момент,в последнее время попытки атак идут преимущественно с серверов AEZA
сегодня атаковали все сайты по несколько раз с IP — 85.192.30.151 (AEZA RU) правильно понимаю, что можно смело банить все подсети AEZA? вероятность, что это реальный посетитель минимальна, разве что кто поднял там собственный VPN и серфит интернет через него или все сложней? кто вникал в вопрос? и где можно в онлайне актуальный список всех статей AEZA посмотреть? UPD. список подсейтей они сами отдают, ссылку можно через whois посмотреть — |
|
|
|
|
|
Можно AEZA написать на с жалобой на атаки с их серверов, но это временная мера.
|
|
|
|
|
|
Евгений Иванкин, AEZA тот самый хостинг который все эти жалобы игнорирует. Не первый год уже что атаки происходят через них
|
|
|
|
|
|
|||
|
|
|
|
Коллеги всем привет! обнаружил как вычистить шелы? тоже подхватили заразу в папке ajax, три файла
/ajax/reload_basket_fly.php /ajax/show_basket_fly.php /ajax/show_basket_popup.php До этого делал вычищал крякозябры с php в той же папке, файл txt тоже там лежал! Зараза пошла после того как провели парсинг через вышеуказанные модули от kda и esol. Пробывал принудительно удалять файлы скриптов и форм, по папкам сайт простоял ночь. Еще на заметку: Срабатывание атаки в модуле защиты на капчу ( стоит гугл v3) , думаю зараза шла через формы. Потому как после всего это началась эта эпопея и спустя 2 дня появились эти файлы в аякс |
|
|
|
|
|
|||
|
|
|
|
Добрый день.
Про взлом сегодня, где модули kda и esol Согласно логам, обращение идет к /bitrix/admiin/esol_allimportexport_cron_settings.php Пример 85.192.30.151 - - [12/Mar/2025:04:50:59 +0300 - 0.002] 200 "GET /c2c3bfdcd4a3.php HTTP/1.1" 7 "САЙТ/bitrix/admin/esol_allimportexport_cron_settings.php" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2943.54 Safari/537.36" "-" Также /bitrix/admin/esol_import_xml_cron_settings.php /bitrix/admin/kda_export_excel_cron_settings.php Сегодня разработчики выложили патчер на странице модуля в маркетплейс |
|
|
|
|
|
Взломщики уже увидели патчер от esol, закрывают этот файл для записи и добавляют в начало файла строку "<?php // 403 Forbidden ?>". Из-за чего патчер не исправляет файлы.
|
|
|
|
|
Загружаем на север, меняем расширение на sh, делаем исполнительным, запускаем. UPD: файлик не прикрепился, вот текст:
|
|||||
|
|
|
|
|||||
|
|
|
||||
© 2001-2025 «Битрикс», «1С-Битрикс». Работает на 1С-Битрикс: Управление сайтом. 
Политика конфиденциальности