Un server web aziendale sta avviando traffico in uscita verso un IP pubblico a bassa reputazione su una porta non standard. Il server web viene utilizzato per presentare una pagina non autenticata ai client che caricano immagini nell'azienda. Un analista nota un processo sospetto in esecuzione sul server che non è stato creato dal team di sviluppo dell'azienda. Qual è la spiegazione più probabile per questo incidente di sicurezza?

La presenza di traffico in uscita verso un IP a bassa reputazione su una porta non standard, combinata con un processo sospetto non autorizzato, indica fortemente che un attaccante ha ottenuto il controllo del server. Una web shell è un programma malevolo che consente agli attaccanti di eseguire comandi sul server web da remoto, spesso caricato tramite vulnerabilità nelle applicazioni web. Questo spiega sia il processo sconosciuto che il traffico anomalo. Le altre opzioni sono meno probabili: Un worm si diffonderebbe attivamente ad altri sistemi, cosa non descritta. L'estrazione di criptovaluta è possibile, ma la web shell è la causa più probabile del controllo iniziale e del processo sospetto. Un rootkit Trojan tramite RDP esposta è possibile, ma la descrizione del server web e della pagina di caricamento immagini suggerisce un attacco a livello di applicazione web, rendendo la web shell più plausibile come vettore iniziale.