Форум

[QUOTE] написал:

Получилось ли полностью победить? Тоже борюсь с этим злом и пока полностью не удается победить.[/QUOTE]

победить не удалось, но удалось локализовать,

в /upload/tmp/ по прежнему появляются непонятные файлы, но дальше не идут, переодически проверяю эту папку, при обнаружении инородных предметов чищу) пока больше на ум ничего не приходит, как и писал выше анализ логов ничего не дал, до сих пор не понятно каким образом все это происходит,

еще вот [URL=https://dzen.ru/media/mills/virusy-na-1sbitriks-2022g-62d158c2c4469e06dcb158a4]здесь[/URL] нашел тему по нашей проблеме, частично реализовал,

но в любом случае все это не полноценное решение проблемы, так как все равно не понятно где дырка,

и пока удается только недопустить дальнейшего заражения,


если у кого есть идеи, пишите, не стесняйтесь!!!

в /upload/tmp с переодичностью раз-два в месяц продолжают появляться папки с файлами такого типа /upload/tmp/BXTEMP-2022-09-28/07/bxu/main

хотелось бы разобраться откуда лезут и где дырка,

запрет выполнения файлов в папке tmp это лишь временное решение,  

анализ логов ничего не дал, в логах сервера чисто,

посоветуйте куда копать,


все перечисленное в данном топике проверил/подправил, что еще может быть?

опровергаю, у меня другой хостинг (не таймвеб),


но все три уязвимости присутствовали:
/bitrix/components/bitrix/main.file.input/main.php
/bitrix/js/main/core/core.js
prolog.php

[QUOTE] написал:
У кого проблема с добавлением js-кода - проверьте наличие файлов и удалите их. /bitrix/components/bitrix/main.file.input/main.php/bitrix/components/bitrix/main.file.input/set_list.phpВторого файла вероятно не будет, а в первом - мишура для отвлечения внимания (основа - код из file.php), вызов system() в конструкторе с параметром из заголовка запроса + создание объекта данного класса после определения класса. Наличие данного файла не предполагается в ядре[/QUOTE]
спасибо тебе добрый человек!!! все действительно так как ты сказал,  

дата изменения этой папки как-раз на момент перед взломом, один из файлов на месте,

но дата как и у всех остальных в папке, а второго нет, видимо самоудалился...

main.php не стал удалять пока, очистил внутренности, будем посмотреть......

[QUOTE] написал:
eIsStarted прпатчивался агент, который и создавал бэкдур putin_hui...php  Как детально не могу сказать, но мне удалось воспроизвести загрузку файла на потенциально уязвимой[/QUOTE]
спасибо, очень познавательно!!!

но у меня немножко другой вирус.... и где искать концы непонятно....

[QUOTE] написал:
@ include_once ('/tmp/[/QUOTE]
словил то же самое, примерно по такой же схеме проходило заражение,

подскажите, как вы решили вопрос?

[QUOTE] написал:
[URL=/community/webdev/user/6420872/]Илья[/URL],
я так понимаю поиск бэкдоров ничего не нашел ...

тогда дырку надо самому искать
если повезёт - дату изменения файлов злоумышленник не изменит обратно, тогда можно по дате изменения в логах глянуть какой файл "дёрнули" и уже в нём поискать бэкдор
если не повезёт, то сложнее - писать анализатор изменившихся файлов и запускать его почаще (в принципе в Вашем случаем можно на эти два файла и "ловить", тогда можно почаще "дёргать" "ловилку")
как только изменение будет "поймано" - анализ логов за последний период запуска "ловилки"
в общем процесс довольно творческий ...

могу помочь в свободное от работы время, но сразу предупреждаю - я не меценат [/QUOTE]
да, бекдоры не нашлись,


даты скорее всего "злоумышленник" поменял, логи по последним изменениям ничего страшного не показывают,


про "ловилку" хорошая мысль, попробую вникнуть как ее можно применить, спасибо!!!

[QUOTE] написал:
[QUOTE] написал:
подскажите, куда копать??[/QUOTE]

Удалить весь сайт чтобы он гадость в интернете не распространял, так как сайт Вам не нужен.


Если бы сайт был Вам нужен, то :

1.

У Вас была бы действующая лицензия и установлены все последние обновления

2.

У Вас не была бы отключена "Проактивная защита" или перед сайтом стоял бы WAF (например ModSecurity прикрученный к apache или nginx)

3.

Сайт бы уже работал на php 7.4 если не на php 8[/QUOTE]
с чего вы взяли что сайт мне не нужен?


1. лицензия куплена

2. не отключена
3. работает

хотя для чего я вам это пишу? от вас навряд-ли я что-то полезное почерпну...

почистил prolog и core.js, несколько дней нормально все было,

сейчас опять в этих файлах ридирект на скрипт,

никто не разобрался где дырка? модуль vote не стоит, подскажите, куда копать??