En bagdør omgår normal godkendelse. Nogle gange er den bevidst indbygget af en udvikler til vedligeholdelse eller fejlfinding. Nogle gange er den installeret af en angriber efter at have fået adgang. Uanset hvad, lukker den nogen ind uden at gå gennem hoveddøren. En bagdør kan være en skjult konto med en hardcodet adgangskode, en hemmelig kommando, der åbner en shell, eller et fjernadgangsværktøj, der ringer hjem til en angribers server.

Bagdøre er farlige, fordi de er usynlige for standard sikkerhedskontroller. En firewall ser normal trafik. En antivirusscanning kan overse et brugerdefineret implantat. Target-bruddet i 2013 begyndte med stjålne legitimationsoplysninger fra en HVAC-leverandør, hvorefter angriberne installerede bagdøre for at opretholde adgang gennem måneders efterforskning. Forsyningskædeangreb planter bagdøre i softwareopdateringer, så tusindvis af organisationer installerer bagdøren frivilligt. SolarWinds-kompromitteret i 2020 gjorde netop det. Detektering af bagdøre kræver overvågning for unormal adfærd, usædvanlige udgående forbindelser og uventet kontoaktivitet. Fjernelse af dem betyder ofte at genopbygge det berørte system fra bunden. Du kan ikke stole på en maskine, som en anden har kontrolleret.

Bagdørstyper

• Hardkodede legitimationsoplysninger — skjulte konti indbygget i software
• Fjernadgangstrojanere — malware, der giver en angriber kontrol
• Webshells — scripts uploadet til en server for vedvarende adgang
• Implantater i forsyningskæden — ondsindet kode indsat i legitime opdateringer

Bagdøre er ikke altid af ondsindet oprindelse. Nogle er rester fra udvikling, der aldrig blev fjernet. De er lige så farlige.