O servidor web de uma empresa está iniciando tráfego de saída para um IP público de baixa reputação em uma porta não padrão. O servidor web é usado para apresentar uma página não autenticada a clientes que fazem upload de imagens para a empresa. Um analista percebe um processo suspeito sendo executado no servidor que não foi criado pela equipe de desenvolvimento da empresa. Qual das seguintes é a explicação mais provável para este incidente de segurança?

A implantação de uma web shell através da página web é a explicação mais provável. A página permite upload de imagens, o que pode ser um vetor para upload de arquivos maliciosos, como uma web shell. Uma web shell concede acesso remoto e execução de comandos, explicando o processo suspeito e o tráfego de saída para um IP de baixa reputação em uma porta não padrão. A exploração de uma vulnerabilidade para implantar um worm é menos provável, pois um worm geralmente se propaga automaticamente, e o cenário descreve um processo específico e tráfego de saída controlado. Insiders maliciosos minerando criptomoeda é possível, mas a web shell é uma causa mais direta para o processo suspeito e o tráfego incomum. Um rootkit Trojan via RDP exposto é menos provável, pois o vetor de ataque mais evidente é a página de upload, e não há menção de RDP.