Bir şirketin web sunucusu, standart olmayan bir port üzerinden düşük itibarlı, herkese açık bir IP adresine giden trafik başlatıyor. Web sunucusu, şirkete resim yükleyen istemcilere kimlik doğrulaması yapılmamış bir sayfa sunmak için kullanılıyor. Bir analist, sunucuda şirket geliştirme ekibi tarafından oluşturulmamış şüpheli bir süreç fark ediyor. Bu güvenlik olayının en olası açıklaması aşağıdakilerden hangisidir?

Web sunucusunun standart olmayan bir port üzerinden düşük itibarlı bir IP adresine giden trafik başlatması ve şirketin geliştirme ekibi tarafından oluşturulmamış şüpheli bir sürecin varlığı, bir web kabuğunun (web shell) dağıtılmış olabileceğini güçlü bir şekilde düşündürmektedir. Kimlik doğrulaması yapılmamış bir sayfa aracılığıyla resim yükleme işlevi, saldırganların sunucuya kötü amaçlı kod yüklemesi için yaygın bir vektördür. Web kabukları, saldırganlara sunucu üzerinde uzaktan komut çalıştırma ve kontrol sağlama yeteneği verir, bu da anormal ağ trafiğini ve şüpheli süreçleri açıklayabilir. Diğer seçenekler neden doğru değil: Solucan dağıtımı: Solucanlar genellikle ağda yayılmayı hedefler, ancak burada belirtilen "düşük itibarlı IP adresine giden trafik" ve "şüpheli süreç" daha çok hedefli bir kontrol mekanizmasına işaret eder. Kripto para madenciliği: Kripto para madenciliği de şüpheli süreçlere neden olabilir, ancak "düşük itibarlı IP adresine giden trafik" genellikle komuta ve kontrol (C2) sunucularıyla ilişkilidir, ki bu da bir web kabuğunun tipik davranışıdır. RDP portu üzerinden rootkit Truva atı: Soruda RDP portunun açık olduğuna dair bir bilgi yoktur ve rootkitler genellikle kendilerini gizlemeye çalışırken, burada süreç açıkça "şüpheli" olarak fark edilmiştir.