У нас тоже есть main.php, файл изменён 28.11.2018 14:16:51, а вот время изменения самой папки main.file.input - 26.06.2022 20:22:39 то есть за 2 дня до атаки. Развернул bitrixlabs - действительно в свежих редакциях нет этого файла. Поискал grep -r "MainController" /www/ - ничего не найдено.