Een webserver van een bedrijf initieert uitgaand verkeer naar een openbaar IP-adres met een lage reputatie op een niet-standaard poort. De webserver wordt gebruikt om een niet-geauthenticeerde pagina te presenteren aan klanten die afbeeldingen uploaden naar het bedrijf. Een analist merkt een verdacht proces op dat op de server draait en dat niet door het ontwikkelingsteam van het bedrijf is gemaakt. Welke van de volgende is de meest waarschijnlijke verklaring voor dit beveiligingsincident?

De meest waarschijnlijke verklaring is dat een webshell via de pagina op de server is geïmplementeerd. De mogelijkheid om afbeeldingen te uploaden naar een niet-geauthenticeerde pagina is een veelvoorkomend vector voor het uploaden van kwaadaardige bestanden, zoals webshells. Een webshell geeft aanvallers externe controle over de server, wat het verdachte uitgaande verkeer naar een IP-adres met lage reputatie op een niet-standaard poort en het onbekende proces verklaart. Een worm zou zich verspreiden naar andere systemen, wat hier niet wordt genoemd. Cryptocurrency mining is mogelijk, maar het onbekende proces en het uitgaande verkeer wijzen sterker op controle door een aanvaller. Een rootkit Trojan via RDP is mogelijk, maar de kwetsbaarheid in de uploadfunctie is een directere en waarschijnlijkere oorzaak gezien de context.