Чаще всего использовался IPv4-адрес 185.125.219.93. Точкой входа были уязвимые скрипты reload_basket_fly.php, show_basket_fly.php, show_basket_popup.php. Файлы находятся в директории /ajax/ в корне сайта, например /var/www/www-root/data/www/test.by/ajax/
Проблемное ПО установлено на сайты десятков клиентов. Владельцы атакованных ресурсов были оперативно уведомлены, а уязвимость быстро закрыта. Разработчик же ПО никак не отреагировал на обращения. Потому наши специалисты по кибербезопасности разработали инструкцию для владельцев сайтов на CMS 1С-Битрикс
Мы не нашли следов каких-либо деструктивных действий по отношению к чувствительной информации клиентов. Поэтому полагаем, что в инцидентах целью злоумышленников был заработок через майнинг криптовалюты