Массовый дефейс сайтов на CMS Bitrix: причины и рекомендации

В конце мая 2023 года в сети интернет произошел массовый дефейс веб-серверов национального сегмента РФ, которые использовали CMS «1С-Битрикс: Управление сайтом». Злоумышленники эксплуатировали известную уязвимость в модуле «Опросы, голосования» (CVE-2022-27228), позволяющую записывать произвольные файлы и выполнять команды ОС.

Эксперты провели анализ атаки и подготовили рекомендации по применению компенсирующих мер и реагированию на инциденты, связанные с CMS Bitrix. В документе описаны технические детали атаки, способы обнаружения и удаления бэкдора, а также меры по повышению безопасности сайтов на CMS Bitrix.

Согласно исследованию, злоумышленники начали взламывать сайты еще в 2022 году через уязвимость CVE-2022-27228, которая была обнаружена и исправлена разработчиками CMS Bitrix в марте 2022 года. Однако многие администраторы сайтов не обновили свою систему или не имели действующей лицензии на обновление. Взломанные сайты получали бэкдор, который позволял злоумышленникам создавать произвольные файлы и выполнять команды ОС. 26 мая 2023 года в районе 14:00 бэкдору была дана команда на замену главной страницы сайта.

Эксперты CyberOK отмечают, что восстановление сайта из резервной копии не решает проблему, поскольку восстанавливается и бэкдор, который дает возможность злоумышленникам повторить атаку. Кроме того, если уязвимость не была устранена, злоумышленники могут снова взломать сервер и установить модификацию бэкдора, что наблюдается в настоящий момент. Поэтому необходимо выполнить следующие действия:

• Обновить CMS Bitrix до последней версии;
• Проверить наличие бэкдора по указанным в документе признакам;
• Удалить бэкдор и все подозрительные файлы;
• Изменить пароли доступа к серверу и базе данных;
• Настроить фаервол и защиту от DDoS-атак;
• Регулярно делать резервные копии сайта.

Документ содержит подробную информацию по каждому из этих шагов, а также ссылки на полезные ресурсы по безопасности сайтов на CMS Bitrix. Рекомендуем ознакомиться с ним всем администраторам сайтов, использующих данную систему.