Откуда взялась таинственная spam-регистрация на bitrix-сайте?
В битриксе компоненты авторизации и регистрации (system.auth.registration и system.auth.form) подключаются на уровне ядра и сама форма не нужна достаточно отправить post данные
Добавлю к посту Евгений, что для защиты можно снять галку "Позволять пользователям регистрироваться" (или как-то так) в настройках главного модуля. А "Запрашивать CAPTCHA при регистрации" наоборот - поставить.