Форум

Тоже самое вчера начались появляться файлы. Все дыры были закрыты что были изывестны

сегодня заметили новое поведение, возможно это началось и ранее:

из старых дыр попытки атак идут только по двум файлам (остальные из логов пропали):
/ajax/error_log_logic.php
/ajax/js_error.php

плюс появились попытки атак через новые файлы:
/bitrix/admin/esol_allimportexport_cron_settings.php
/bitrix/admin/esol_import_excel_cron_settings.php
/bitrix/admin/esol_export_excel_cron_settings.php
/bitrix/admin/kda_import_excel_cron_settings.php
/bitrix/admin/kda_export_excel_cron_settings.php
и
/api/parser/index.php — ???
В основном это файлы от этих разработчиков: esolutions.su и mayakit.ru, так что:
аспро в данном случае может и не причем...

чей файл /api/parser/index.php не очень понимаю, если кто знает, напишите.


у нас таких файлов нет, плюс доступ к административной части закрыт по IP,
но обращения к данным файлам добавили в обработчик, чтобы сразу в стоп-лист банить IP, которые ими интересуются.

Тоже на проектах были установлены модули kda и esol, анализируем сейчас логи.

Подтверждаю, вчера все сайты где были установлены модули по импорту и экспорту EXCEL от kda и esol были заражены.
У разработчиков в этом модуле числится в обновлениях от 28 февраля 2025 правки по безопасности.
Пару модулей (у которых еще активна лицензия) обновили, остальные стер. Посмотрим, где появятся вредоносные скрипты снова, а где не будет.

Половина сайтов не на Аспро. И никак с ними не связана.