Взломали сайт Antonkiil - Безопасность сайтов на Joomla

Здравствуйте! Взломали сайт, некий Antonkiil, может кто-то сталкивался с этим, куда копать? Можно как-то избавиться от этой заразы без восстановления из резервной копии? Были на сайте работы проведены большие по изменению дизайна, не хочется результат терять

Спросите хостера для начала об актуальных резервных копиях, они должны быть по идее ежедневными.
Но после этого все равно надо будет лечить и защищать сайт.

Спросите хостера для начала об актуальных резервных копиях, они должны быть по идее ежедневными.
Но после этого все равно надо будет лечить и защищать сайт.

Не могли бы вы подсказать пожалуйста, как лечить и защищать сайт?

Взлом идет в большинстве случаев через уязвимую версию Helix. Нужно обновить плагины фрейморк до 3.1.2.

Взлом идет в большинстве случаев через уязвимую версию Helix. Нужно обновить плагины фрейморк до 3.1.2.
Но нам не помогло. Восстанавливаем сайт, ставим обновы, сайт какое-то время работает нормально, а потом просто перестает открываться. Раза три пробовали. По видимому хак идет и через SQL.

Такая же ситуация. Поломали кучу сайтов в один день. Пока один восстанавливаю, второй уже снова лежит дефейснутый.
Из того что понял, надо обновить плагин Helix, обновить или снести редактор JCE и обновить SP Pagebuilder до последней версии, но у меня с этим проблема на Joomla 4.1.2

И вот тут проверить на предмет шеллов - /media/com_sppagebuilder/assets/iconfont/
Ну и сменить пароль от админки и бд

Взлом идет в большинстве случаев через уязвимую версию Helix. Нужно обновить плагины фрейморк до 3.1.2.
Но нам не помогло. Восстанавливаем сайт, ставим обновы, сайт какое-то время работает нормально, а потом просто перестает открываться. Раза три пробовали. По видимому хак идет и через SQL.

Хак идет черед дырку в SP Page Builder через функционал загрузки собственных иконок, вот пояснение: https://www.google.com/search?q=CVE-2026-48908&oq=CVE-2026-48908&gs_lcrp=EgZjaHJvbWUyBggAEEUYOdIBBzczMmowajeoAgCwAgA&sourceid=chrome&ie=UTF-8

Я тоже с этим столкнулся, удалил кучу всего, как временное решение нашел блокировку "дыры" в .htaccess:

RewriteEngine On
# Block asset.uploadCustomIcon direct access
RewriteCond %{QUERY_STRING} task=asset\.uploadCustomIcon [NC,OR]
RewriteCond %{QUERY_STRING} task=asset%2euploadCustomIcon [NC]
RewriteRule .* - [F,L]

В идеале обновиться до Page Builder версии 6.6.2, но если сайт старый то тогда только блокировать.

Такая же ситуация. Поломали кучу сайтов в один день. Пока один восстанавливаю, второй уже снова лежит дефейснутый.
Из того что понял, надо обновить плагин Helix, обновить или снести редактор JCE и обновить SP Pagebuilder до последней версии, но у меня с этим проблема на Joomla 4.1.2

Удаляйте JCE, блокируйте дыру в Page Builder через .htaccess:

RewriteEngine On
# Block asset.uploadCustomIcon direct access
RewriteCond %{QUERY_STRING} task=asset\.uploadCustomIcon [NC,OR]
RewriteCond %{QUERY_STRING} task=asset%2euploadCustomIcon [NC]
RewriteRule .* - [F,L]

У меня на одном сайте дефейсы прекратились после удаления компонента AcyMailing, но левые json файлы с текстами всё равно появляются. Подробнее об уязвимости тут: https://www.google.com/search?q=CVE-2026-48908&oq=CVE-2026-48908&gs_lcrp=EgZjaHJvbWUyBggAEEUYOdIBBzczMmowajeoAgCwAgA&sourceid=chrome&ie=UTF-8

Жопа конечно

сменить пароль от админки и бд

Смена пароля от БД мало что решит, там идет прямая загрузка файлов на сервер. Но да, не плохо бы и это сделать.

а потом просто перестает открываться

Я на одном сайте заметил в файлах index.php внедренный обфусцированный js-код, сайт тоже ОЧЕНЬ плохо грузился, после удаления этого кода всё ок стало. Код внедряют в корневой index.php и index.php шаблонов.

Здравствуйте! Взломали сайт, некий Antonkiil, может кто-то сталкивался с этим, куда копать? Можно как-то избавиться от этой заразы без восстановления из резервной копии? Были на сайте работы проведены большие по изменению дизайна, не хочется результат терять

Шаг 1. - зайти к хостеру и скачать максимально старые бэкапы которые доступны, атака пошла с конца июня, если у вас есть ежедневные бэкапы на 30 дней назад - качайте 4-5 версий, файлы + базу.
Шаг 2. - Накатываем бэкап от середины июня или начала месяца
Шаг 3. - Руками проверяем файлы чтобы не было ничего лишнего, удаляем всё подозрительное.
Шаг 4. - Удаляем компоненты JCE, Acymailing, если есть возможность обновляем SP Page Builder до последней версии.
Шаг 5. - Если обновление SP Page Builder невозможно (сайт старый) то открываем корневой файл .htacceess и вписываем туда следующее:

RewriteEngine On
# Block asset.uploadCustomIcon direct access
RewriteCond %{QUERY_STRING} task=asset\.uploadCustomIcon [NC,OR]
RewriteCond %{QUERY_STRING} task=asset%2euploadCustomIcon [NC]
RewriteRule .* - [F,L]

Это заглушка которая закрывает ту уязвимость которую использовали взломщики.
Дальше наблюдайте за сайтом, держите под рукой резервные копии которые вы скачали.

Прочитал и не понял, а как взлом проявляется? У меня на 3 сайта стали дико тормозить, через консоль разработчика посмотрел какой файл всё тормозит - идёт запрос на сторонний ресурс whitellllshop.icu файл находился по пути: /media/vendor/jquery/js/jquery.min.js (для Joomla 3.10 путь: /media/jui/js/) Очистил всю папку (хотя заражён был только этот файл), обновил корневые файлы Joomla через интерфейс обновления, удалил все лишние профили в JCE (а они были) и почистил папку tmp в корне сайта. Пока полёт нормальный!

Прочитал и не понял, а как взлом проявляется?

Дефейсом, т.е. подменой страниц. Пример: https://vektronik.ru/katalog/stanki/format-mini/product/view/552/1227
В бэкенде зашел в настройки и удалил скрипт в пользовательских JS. Прошелся по файлам на сервере с удалением вредоносных JSON, PHP, TXT. В логах хостера увидели, что атака идет с созданием вебшелла (c PHP) в папке images.
Так же сторонние файлы были найдены в папке с шаблоном, корне сайта (чаще JSON).
В  случае если используется обычный Helix (не Ultimate), следует скачать фикс (оба плагина): https://www.joomshaper.com/downloads/template/helix3
Закрыть уязвимые директории от создания PHP через внесение изменений в htaccess. Можете использовать вот это бесплатное расширение от немецкого разработчика https://htprotect.org/en/#htprotect
Собственно там же, на странице разработчика подробнее о проблеме и ее решении: https://htprotect.org/en/helix3

Хак идет черед дырку в SP Page Builder

У кого как. У меня SP Builder  3.6.2. Версия не попала в число уязвимых. Атака произошла через уязвимую версию фреймворка Helix.

JCE, Sp Page Builder, Helix (Helix Ultimate тоже надо обновить!) сейчас актуальные. У кого есть, проверяем все.

избавиться от этой заразы без восстановления из резервной копии

Это достаточно тяжело. В закрытом режиме все вычищать и обновлять надо.

Что касается  SP Builder, согласно заявлению разработчиков, у версий 3-хх нет данной уязвимости.
По инциденту с дефейсом, можно посмотреть пошагово следующие действия по решению проблемы: https://htmlweb.ru/articles/incident-rostovklimatru.html

Из того что понял, надо обновить плагин Helix, обновить или снести редактор JCE и обновить SP Pagebuilder до последней версии, но у меня с этим проблема на Joomla 4.1.2

Скомпрометированные версии JCE не создают данной проблемы. И там не таких серьезных последствий (решается удалением левых профилей и файлов shtml, накаткой фикса) как в случае с взломом фреймворка Helix и конструктора контента от JoomShaper. Здесь уже более глубокое заражение и действительно приходится произвести полный аудит скомпрометированного сайта. Кроме того - как правило ломается шаблон и надо удалять сторонний код в БД в стилях.
Если у Вас уязвимая версия SPB, можете просто накатить патч. Подробнее здесь:
https://www.joomshaper.com/forum/question/45258

спасибо большо что поделились. а то только восстановлю сайт из резервной копии, через несколько часов снова ломают.
обновил SP Page Builder 6 Lite, его кстати можно бесплатно скачать с сайта разработчика https://www.joomshaper.com/downloads/extension/sp-page-builder-lite-next
и после этого проблема ушла.
В поисках решения удалил ещё редактор JCE. Его уже можно заново ставить, или там тоже дыры есть?

Как по мне, я стараюсь обходиться без редактора JCE, история со взломами повторяется с периодичностью. Либо можно пытаться повысить защищённость добавляя в папки загрузки .htaccess с запретом исполняемым файлов/ белым списком разрешенных

В поисках решения удалил ещё редактор JCE.

Дыру пофиксили. Можно ставить. Но согласен с коментом  выше. Больно часто его взламывают.

У меня после восстановления из бекапа и чистки после недавнего взлома Helix, появилась другая проблема. Стоит мне очистить кэш Joomla, как сайт ложится с ошибкой 500. Приходится снова разворачивать из бекапа.
Друзья, кто сталкивался может, где копать?