Веб-сервер компании инициирует исходящий трафик на общедоступный IP-адрес с низкой репутацией по нестандартному пути. Веб-сервер используется для отображения неаутентифицированной страницы клиентам, которые загружают изображения в компанию. Аналитик замечает подозрительный процесс, запущенный на сервере, который не был создан командой разработчиков компании. Какое из следующих объяснений является наиболее вероятным для этого инцидента безопасности?

Наиболее вероятное объяснение — развертывание веб-шелла. Веб-сервер, позволяющий загружать изображения, является распространенной точкой входа для веб-шеллов, которые часто маскируются под файлы изображений. Нестандартный исходящий трафик на IP-адрес с низкой репутацией, инициированный подозрительным процессом, указывает на удаленное управление сервером злоумышленником. Веб-шелл предоставляет злоумышленнику удаленный доступ и возможность выполнять команды. Развертывание червя менее вероятно, так как черви обычно распространяются автономно, а не через целенаправленный исходящий трафик на один IP-адрес. Майнинг криптовалюты инсайдерами возможен, но подозрительный процесс, не созданный командой разработчиков, инициирующий трафик на IP-адрес с низкой репутацией, больше соответствует внешнему контролю. Руткит-троян через RDP менее вероятен, поскольку в описании не упоминается открытый порт RDP, и веб-сервер, используемый для загрузки изображений, является более очевидным вектором атаки.