Un serveur web d'entreprise initie un trafic sortant vers une adresse IP publique de faible réputation sur un port non standard. Le serveur web est utilisé pour présenter une page non authentifiée aux clients qui téléchargent des images pour l'entreprise. Un analyste remarque un processus suspect s'exécutant sur le serveur qui n'a pas été créé par l'équipe de développement de l'entreprise. Quelle est l'explication la plus probable de cet incident de sécurité ?

L'explication la plus probable est qu'un web shell a été déployé sur le serveur via la page. Un web shell est un script malveillant qui permet à un attaquant de contrôler à distance un serveur web via un navigateur. Le trafic sortant vers une adresse IP publique de faible réputation sur un port non standard, combiné à un processus suspect non autorisé, est très indicatif d'un web shell utilisé pour la persistance et le contrôle. Les options incorrectes sont moins probables car : un ver se propagerait généralement à d'autres systèmes et ne se limiterait pas à un trafic sortant non standard ; le minage de cryptomonnaie impliquerait souvent une consommation élevée de CPU et un trafic vers des pools de minage spécifiques ; et un rootkit via RDP exposé ne correspond pas à l'exploitation via la page non authentifiée et le trafic sortant sur un port non standard.