← На главную

При мониторинге сетевого трафика и анализе журнала межсетевого экрана системные администраторы и разработчики иногда сталкиваются с ситуацией, когда исполняемый файл платформы 1cv8.exe инициирует исходящие TCP-соединения к внешним IP-адресам, запрашивая файлы вида favicon.ico. Нередко такие адреса принадлежат зарубежным поисковым системам или веб-узлам, которые явно не прописаны в программном коде конфигурации. Разберем по шагам, почему возникает подобное поведение, какие механизмы платформы и операционной системы за этим стоят, а также как локализовать и устранить нежелательную активность.

Причины нежелательной сетевой активности процесса 1С

Проанализируем ситуацию: платформа 1С:Предприятие не содержит встроенного скрытого функционала для обращения к случайным внешним серверам. Однако исполняемый файл 1cv8.exe активно взаимодействует с системными библиотеками Windows и внешними компонентами. Выделим основные источники исходящего трафика:

1. Инициализация системного движка обозревателя (MSHTML / WinINet): если в конфигурации используется элемент управления ПолеHTMLДокумента или создаются COM-объекты обозревателя, в адресное пространство процесса загружаются библиотеки mshtml.dll, wininet.dll и urlmon.dll. Системный движок при старте или обработке HTML-кода может самостоятельно запрашивать фавиконки (favicon.ico) для сохраненных поисковых провайдеров, проверять службы подсказок, веб-фрагменты или обновлять кэш лент новостей.
2. Встроенные надстройки обозревателя (Browser Helper Objects / BHO): зарегистрированные в операционной системе плагины, тулбары или сторонние модули ввода текста автоматически внедряются в любой процесс, инициализирующий интерфейс веб-документа. Если на рабочей станции присутствовали нежелательные программы или китайские утилиты, их библиотеки начинают отправлять фоновые запросы (например, к серверам Baidu) непосредственно из процесса 1cv8.exe.
3. Драйверы торгового оборудования и эквайринга: внешние компоненты, подключаемые для работы с терминалами банков, онлайн-кассами или сканерами, работают в едином адресном пространстве процесса платформы. Фоновая проверка связи, телеметрия или обновление списков отзыва сертификатов (CRL) драйвером отображаются в сетевом мониторе как обращения от 1cv8.exe.
4. Рекламные баннеры и гиперссылки на начальной странице: в типовых и доработанных конфигурациях на рабочий стол пользователя могут выводиться HTML-страницы с новостями, баннерами или ссылками на внешние ресурсы, инициирующие предзагрузку метаданных.

Пошаговая диагностика источника сетевых вызовов

Чтобы точно определить, какой модуль или участок кода инициирует сокетное соединение, выполним диагностику:

1. Анализ стека вызовов через Process Monitor: запустим утилиту от имени администратора, установим фильтр Process Name is 1cv8.exe и включим отслеживание событий сетевой активности (TCP Connect, TCP Send). При возникновении события откроем его свойства и изучим вкладку Stack. Это позволит увидеть конкретную библиотеку DLL и цепочку системных функций, запросивших подключение.
2. Проверка загруженных библиотек в Process Explorer: откроем свойства процесса 1cv8.exe и перейдем на вкладку Modules. Проанализируем список сторонних библиотек, обращая особое внимание на модули в каталогах AppData, Temp и ветки BHO.
3. Пошаговая отладка конфигурации: выполним запуск сеанса в режиме отладки с точками останова в процедурах ПриНачалеРаботыСистемы и модулях рабочих столов. Проверим, на каком этапе инициализируются формы с элементами ПолеHTMLДокумента или внешние компоненты оборудования.

Методы решения и очистки системы

Рассмотрим комплекс мер, позволяющих полностью устранить нежелательные запросы:

1. Очистка параметров обозревателя Windows:

   Откроем апплет «Свойства браузера» («Свойства интернета») в панели управления Windows. На вкладке «Общие» выполним полное удаление временных файлов, журнала и кэша. На вкладке «Программы» перейдем в «Управление надстройками», проверим раздел «Службы поиска» и удалим все подозрительные поисковые системы, отключив службу поисковых предложений и рекомендаций.

2. Удаление скрытых надстроек из системного реестра:

   Проверим наличие нежелательных GUID в разделах реестра Windows:

   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

   HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes

   Удалим ветки, содержащие ссылки на неизвестные или удаленные расширения.

3. Проверка и изоляция внешних компонент:

   Временно отключим инициализацию эквайрингового терминала в настройках торгового оборудования. Если сетевые запросы прекращаются, обновим внешнюю компоненту банка до актуальной сертифицированной версии либо обратимся в техническую поддержку поставщика драйвера.

4. Сетевые правила и ограничения:

   На рабочих станциях, где не требуется свободный выход в интернет, настроим правила Брандмауэра Windows или корпоративного шлюза, заблокировав для процесса 1cv8.exe любые исходящие соединения, кроме авторизованных адресов банковского процессинга и внутренних серверов предприятия.

Особенности управления жизненным циклом COM и HTML-документов

Важно учитывать ограничение платформы: после закрытия экранной формы с элементом ПолеHTMLДокумента или освобождения переменной COM-объекта системные библиотеки движка MSHTML могут оставаться загруженными в памяти процесса вплоть до полного завершения сеанса 1С:Предприятия. Если требуется гарантированно сбросить состояние всех сетевых подсистем, необходимо выполнить полный перезапуск клиентского приложения.