Ein Webserver eines Unternehmens initiiert ausgehenden Traffic zu einer öffentlichen IP-Adresse mit geringem Ruf über einen nicht standardmäßigen Port. Der Webserver wird verwendet, um Clients, die Bilder in das Unternehmen hochladen, eine nicht authentifizierte Seite zu präsentieren. Ein Analyst bemerkt einen verdächtigen Prozess, der auf dem Server läuft und nicht vom Entwicklungsteam des Unternehmens erstellt wurde. Welche der folgenden Erklärungen ist die wahrscheinlichste für diesen Sicherheitsvorfall?

Die wahrscheinlichste Erklärung ist eine Web-Shell. Der Webserver erlaubt das Hochladen von Bildern auf einer nicht authentifizierten Seite, was ein gängiger Vektor für das Hochladen von Web-Shells ist. Eine Web-Shell ermöglicht es einem Angreifer, Befehle auf dem Server auszuführen, was den verdächtigen Prozess und den ausgehenden Traffic zu einer IP mit geringem Ruf über einen nicht standardmäßigen Port erklären würde. Ein Wurm würde sich typischerweise selbst verbreiten, was hier nicht beschrieben wird. Kryptowährungs-Mining würde wahrscheinlich mehr Ressourcen verbrauchen und könnte über eine Web-Shell initiiert werden, ist aber nicht die primäre Erklärung für die initiale Kompromittierung. Ein Rootkit über RDP ist unwahrscheinlich, da RDP nicht erwähnt wird und die Upload-Funktion einen direkteren Angriffsvektor darstellt.