Вирус .htaccess

В последнее время довольно часто встречается вирус, который создает собственные файлы .htaccess практически во всех директориях сайта.

Особенно неприятно, когда заражен сайт на 1С-Битрикс:

• ломается работа сайта;
• начинаются редиректы;
• появляются ошибки 500;
• может перестать открываться админка.

Проверка сайта через сканер безопасности Битрикс

Если сайт работает на Битрикс, первым делом рекомендую воспользоваться:

Сканером безопасности

который находится в административной панели.

Очень часто сканер:

• находит зараженные PHP-файлы;
• указывает источник заражения;
• показывает подозрительные изменения;
• дает рекомендации по устранению проблемы.

Постарайтесь устранить:

• все найденные уязвимости;
• подозрительные файлы;
• небезопасные права доступа;
• старые версии компонентов и модулей.

Что делать, если админка Битрикс не открывается

Иногда вирус модифицирует:

.htaccess

настолько сильно, что зайти в админку уже невозможно.

В таком случае можно удалить все файлы .htaccess через консоль Linux.

Удаление всех .htaccess на сайте

Переходим в директорию сайта и выполняем команду:

find . -type f -name ".htaccess" -exec rm -v {} \;

Команда:

• находит все файлы .htaccess;
• удаляет их;
• показывает список удаленных файлов.

Будьте осторожны:

• команда удаляет все .htaccess без подтверждения.

Восстановление .htaccess

После удаления нужно восстановить корректный файл:

.htaccess

Например, из резервной копии:

.htaccess.restore

И заодно запретить его изменение.

Защита .htaccess через chattr

chattr -i .htaccess; cp .htaccess.restore .htaccess; chattr +i .htaccess

Что делает эта команда:

• снимает защиту с текущего .htaccess;
• копирует резервный файл;
• делает новый .htaccess неизменяемым.

Что означает chattr +i

Атрибут:

chattr +i

делает файл неизменяемым.

После этого:

• его нельзя удалить;
• нельзя изменить;
• даже root не сможет случайно перезаписать файл, пока не будет снят атрибут.

Дополнительные меры безопасности

После очистки сайта обязательно стоит:

• сменить все пароли;
• обновить Битрикс;
• обновить модули и шаблоны;
• проверить права на файлы;
• проверить cron и автозагрузку;
• отключить ненужные PHP-скрипты;
• проверить загрузки в /upload/.

Итог

Вирусы, создающие вредоносные .htaccess, встречаются довольно часто, особенно на старых и плохо обновляемых сайтах.

Если сайт на Битрикс:

• используйте сканер безопасности;
• удаляйте вредоносные .htaccess;
• восстанавливайте оригинальный файл;
• защищайте его через chattr.

И самое главное — постарайтесь найти первоисточник заражения, иначе проблема через некоторое время вернется снова.