Файл с именем типа cca61f866479.php (набор случайных шестнадцатеричных символов) на сайте под управлением 1С-Битрикс — это почти со 100% вероятностью вредоносный скрипт (вирус/веб-шелл). Легитимные файлы Битрикса так не называются.
Злоумышленники часто создают файлы со случайными именами, например:
// Примеры вредоносных файлов (НЕ создавать на сайте!):
// /upload/cca61f866479.php
// /bitrix/cache/a3f5d9e2.php
Если вы обнаружили такой файл, немедленно проверьте сайт сканером...
dbconn.php), чтобы украсть пароли от базы данных, почты, FTP и платежных систем./bitrix/modules/..., /local/php_interface/init.php), чтобы запускаться даже после удаления основного файла-вредителя.cca61f866479.php (хеш-сумма или случайный набор символов) используется злоумышленниками для:
/upload/ (особенно в подпапках с картинками)./bitrix/cache/ или /bitrix/stack_cache/.index.php.cca61f866479.php не вылечит сайт.init.php), который проверяет наличие этого вируса. Если вы удалите вирус, загрузчик скачает его снова через несколько минут или часов./local/php_interface/init.php и /bitrix/php_interface/init.php на наличие постороннего кода (часто там бывает eval, base64_decode, preg_replace с непонятными строками)./bitrix/modules/main/include.php.dbconn.php)./upload/, /images/, /bitrix/cache/. Там должны лежать только картинки и статика..htaccess для ограничения доступа к чувствительным файлам.cca61f866479.php — это серьезная угроза. Он дает хакерам доступ к вашему сайту. Просто удалить его недостаточно — нужно проводить комплексную чистку и закрывать уязвимость, через которую он попал. Если вы не уверены в своих силах, лучше обратиться к специалистам по безопасности Битрикс.
Не открывайте подозрительный файл в браузере.
Он может выполнять произвольный код.
Проверьте содержимое файла.
Скорее всего, там есть:
eval(base64_decode(...))
gzuncompress(base64_decode(...))
preg_replace('/.*/e', ...)
или скрытые функции, работающие как бэкдор.
Удалите этот файл с сервера, но сначала сохраните копию (для анализа, если нужно).
Проверьте остальные файлы проекта.
Вирусы редко ограничиваются одним файлом. Чаще всего закладки раскиданы по bitrix/modules/, upload/, а также могут внедряться в index.php или шаблоны.
Можно искать по SSH командой:
grep -R --include="*.php" "base64_decode" /var/www/your_site/ grep -R --include="*.php" "eval(" /var/www/your_site/ grep -R --include="*.php" "gzuncompress" /var/www/your_site/
Это даст список подозрительных мест.
Проверьте права на папки и файлы.
Установите правильные права:
find /var/www/your_site/ -type f -exec chmod 644 {} \; find /var/www/your_site/ -type d -exec chmod 755 {} \;
и убедитесь, что PHP не имеет права на запись в системные файлы Bitrix.
Поменяйте все пароли:
FTP/SSH
Админка Битрикс
БД
Хостинг-панель
Включите антивирусную проверку.
Если используете BitrixVM — есть встроенный сканер:
/opt/webdir/bin/bx-sites audit <имя_сайта>
Или используйте внешний (например, virusdie, ImunifyAV, clamscan).
Вы заходите на свой сайт, а антивирус ругается на троян. Или хостинг-провайдер присылает «письмо счастья» о блокировке аккаунта за рассылку спама. Или, копаясь в файлах, вы находите странный скрипт с названием вроде txets.php, sess.php или admin_ajaxx.php, который вы точно не создавали.
Диагноз очевиден: ваш сайт взломали.
Первое правило в такой ситуации — не паниковать. Взламывают всех: от маленьких блогов до корпоративных порталов. В этой статье мы разберем пошаговый алгоритм действий, который поможет вылечить сайт, найти причину заражения и сделать так, чтобы хакеры к вам больше не вернулись.
