Вирусы на Битрикс в 2025 году. Аспро: защита и лечение

3 февраля 2025 года зафиксирована новая, уже третья по счету, масштабная волна взломов сайтов на популярной CMS 1С-Битрикс. Как и предыдущие волны в 2023 и 2024 годах, атака пришлась на начало года и нацелена на один из самых распространенных коммерческих шаблонов — АСПРО (Максимум, Лайтшоп, Next).

Основная причина — критические уязвимости в компонентах шаблона, позволяющие злоумышленникам выполнять произвольный код (RCE — Remote Code Execution). Если ваш сайт работает на устаревшей версии АСПРО и не получил важные обновления безопасности, он находится в зоне высокого риска.

Симптомы заражения: как распознать вирус на Битрикс

Заражение проявляется сразу несколькими тревожными признаками:

1. Блокировка доступа к админке: При попытке зайти в /bitrix/ или /bitrix/admin/ сервер возвращает ошибку 403 Forbidden или You don't have permission to access /bitrix/ on this server.

2. Отказ работы разделов сайта: Перестают открываться каталог, блог, новости или другие динамические разделы, часто с аналогичными ошибками доступа.

3. Появление легиона файлов: Вирус массово создает собственные файлы (часто с случайными именами) в различных папках проекта, включая /bitrix/, /upload/ и корневые директории.

4. Подмена .htaccess: Ключевой метод блокировки — вирус подменяет или добавляет malicious-правила в файлы .htaccess, что и приводит к ошибкам 403.

Экстренные меры: как восстановить доступ и очистить сайт

Если вы обнаружили симптомы, немедленно действуйте по этому плану.

Шаг 1: Восстановите доступ к админке

• Через FTP или файловый менеджер хостинга найдите и удалите все файлы .htaccess в папках /bitrix/ и /bitrix/admin/.

• Основной файл .htaccess в корне сайта пока не трогайте.

Шаг 2: Проведите сканирование в админке

• После восстановления доступа зайдите в Панель управления Битрикс.

• Перейдите в раздел: «Настройки» -> «Прокативная защита» -> «Поиск троянов и вирусов».

• Запустите «Проверка .htaccess» и удалите все найденные подозрительные правила.

• Запустите полное «Сканирование файлов». Внимательно изучите отчет и удалите все файлы, помеченные как опасные.

Шаг 3: Почистите index.php

• Вирус часто добавляет вредоносный код в начало корневого index.php. Откройте его в редакторе и удалите все подозрительные строки до тега <?php.

Шаг 4: Перезапустите сервер

• Перезапустите веб-сервер (Apache/Nginx) и PHP-FPM через панель хостинга. Это уничтожит вредоносные процессы, которые могли остаться в памяти.

$arIncludeParams = ($bAjaxMode ? $_POST["AJAX_PARAMS"] : $arParamsTmp);
$arGlobalFilter = ($bAjaxMode ? unserialize(urldecode($_POST["GLOBAL_FILTER"])) : ($_GET['GLOBAL_FILTER'] ? unserialize(urldecode($_GET['GLOBAL_FILTER'])) : array()));
$arComponentParams = unserialize(urldecode($arIncludeParams));

if ($_POST["AJAX_PARAMS"] && !is_array(unserialize(urldecode($_POST["AJAX_PARAMS"]), ["allowed_classes" => false]))) {
    header('HTTP/1.1 403 Forbidden');
    $APPLICATION->SetTitle('Error 403: Forbidden');
    echo 'Error 403: Forbidden_1';
    require_once($_SERVER['DOCUMENT_ROOT'] . '/bitrix/modules/main/include/epilog_after.php');
    die();
}
$arIncludeParams = ($bAjaxMode ? $_POST["AJAX_PARAMS"] : $arParamsTmp);
$arGlobalFilter = ($bAjaxMode ? unserialize(urldecode($_POST["GLOBAL_FILTER"]), ["allowed_classes" => false]) : ($_GET['GLOBAL_FILTER'] ? unserialize(urldecode($_GET['GLOBAL_FILTER']), ["allowed_classes" => false]) : array()));
$arComponentParams = unserialize(urldecode($arIncludeParams), ["allowed_classes" => false]);

$arParams = unserialize(urldecode($_REQUEST["PARAMS"]));

if (!is_array(unserialize(urldecode($_REQUEST["PARAMS"]), ["allowed_classes" => false]))) {
    header('HTTP/1.1 403 Forbidden');
    $APPLICATION->SetTitle('Error 403: Forbidden');
    echo 'Error 403: Forbidden';
    require_once($_SERVER['DOCUMENT_ROOT'] . '/bitrix/modules/main/include/epilog_after.php');
    die();
}
$arParams = unserialize(urldecode($_REQUEST["PARAMS"]), ["allowed_classes" => false]);

$res = CSaleOrderProps::GetList(array(), array('@CODE' => unserialize($_POST["PROPERTIES"]), 'PERSON_TYPE_ID' =>$personType));

$res = CSaleOrderProps::GetList(array(), array('@CODE' => unserialize($_POST["PROPERTIES"], ['allowed_classes' => false]), 'PERSON_TYPE_ID' =>$personType));

Скрипт для закрытия уязвимостей

Вы можете скачать скрипт, который автоматически закроет все уязвимости в вашем проекте:  https://metatag.by/upload/aspro_fix.zip (обновлено 11.02.2025)

Этот инструмент выполняет пакетное исправление всех опасных файлов в проектах на базе АСПРО.

Важно: Скрипт выполняет исключительно превентивную функцию — он блокирует потенциальные точки входа для атак. Если ваш ресурс уже скомпрометирован, перед применением скрипт⁠ необходимо провести полную очистку от вредоносного кода.

Руководство по использованию скрипта

Требования к системе:

• Интерпретатор PHP версии 7.4 и выше;

• Активированные модули: zip, session, file system;

• Права на запись в файловую систему сайта.

Пошаговая инструкция:

1. Загрузите и деархивируйте дистрибутив;

2. Разместите исполняемый файл fixit.php в корневом каталоге вашего проекта (на одном уровне с index.php);

3. Инициируйте выполнение скрипта через браузер: https://ваш-домен/fixit.php;

4. Настройте параметры выполнения в соответствии с вашими потребностями.

Доступные опции конфигурации:

• Глубокий анализ с проверкой модулей сторонних разработчиков — полное сканирование всех компонентов системы;

• Создание резервных копий модифицированных файлов (.back) — критически важная опция, рекомендуется обязательное включение;

• Формирование zip-архива с исходными версиями файлов — создание бэкапа в директории /upload/;

• Автоматическое удаление скрипта после завершения — функция самоуничтожения для повышения безопасности.

Меры предосторожности и устранение неполадок

Важные рекомендации:

• Перед запуском создайте полную резервную копию сайта и базы данных;

• Убедитесь в наличии достаточных прав доступа для файловых операций;

• Используйте инструмент с осторожностью — некорректные настройки могут повлиять на работоспособность системы.

Решение возможных проблем:

В случае возникновения ошибок после выполнения скрипта:

1. Определите, какой файл вызывает проблему;

2. Найдите его резервную копию с расширением .php.back в той же директории;

3. Восстановите оригинальную версию файла из резервной копии.

Примечание: файлы, содержащие резервные копии, не представляют угрозы и могут быть безопасно восстановлены.

Стратегия долгосрочной защиты

После применения исправлений и обновления платформы Битрикс текущая угроза будет нейтрализована. Однако для обеспечения постоянной безопасности рекомендуется регулярное обновление и поддержание актуальной версии шаблона и ядра Битрикс;

Помните: профилактика уязвимостей всегда эффективнее и дешевле ликвидации последствий взлома. Регулярное обновление — единственная надежная стратегия защиты вашего сайта.