Вирусы на сайте битрикс типа cca61f866479.php

Файл вида cca61f866479.php на сайте Битрикс с очень большим шансом является вредоносным (вебшелл или бэкдор).
Обычно такие файлы имеют случайные имена (набор букв/цифр) и позволяют злоумышленникам выполнять команды на сервере или загружать новые вирусы.

Что делать прямо сейчас

1. Не открывайте подозрительный файл в браузере.
   Он может выполнять произвольный код.

2. Проверьте содержимое файла.
   Скорее всего, там есть:

   • eval(base64_decode(...))

   • gzuncompress(base64_decode(...))

   • preg_replace('/.*/e', ...)

   • или скрытые функции, работающие как бэкдор.

3. Удалите этот файл с сервера, но сначала сохраните копию (для анализа, если нужно).

4. Проверьте остальные файлы проекта.
   Вирусы редко ограничиваются одним файлом. Чаще всего закладки раскиданы по bitrix/modules/, upload/, а также могут внедряться в index.php или шаблоны.

   Можно искать по SSH командой:

   
   grep -R --include="*.php" "base64_decode" /var/www/your_site/
   grep -R --include="*.php" "eval(" /var/www/your_site/
   grep -R --include="*.php" "gzuncompress" /var/www/your_site/
   
   

   Это даст список подозрительных мест.

5. Проверьте права на папки и файлы.
   Установите правильные права:

   
   find /var/www/your_site/ -type f -exec chmod 644 {} \;
   find /var/www/your_site/ -type d -exec chmod 755 {} \;
   
   

   и убедитесь, что PHP не имеет права на запись в системные файлы Bitrix.

6. Поменяйте все пароли:

   • FTP/SSH

   • Админка Битрикс

   • БД

   • Хостинг-панель

7. Включите антивирусную проверку.
   Если используете BitrixVM — есть встроенный сканер:

   
   /opt/webdir/bin/bx-sites audit <имя_сайта>
   
   

   Или используйте внешний (например, virusdie, ImunifyAV, clamscan).