A hátsó ajtó megkerüli a normál hitelesítést. Néha szándékos, egy fejlesztő építi be karbantartás vagy hibakeresés céljából. Néha egy támadó telepíti, miután hozzáférést szerzett. Akárhogy is, beenged valakit anélkül, hogy át kellene mennie a bejárati ajtón. A hátsó ajtó lehet egy rejtett fiók fixen kódolt jelszóval, egy titkos parancs, amely megnyit egy parancsértelmezőt, vagy egy távoli hozzáférési eszköz, amely felhívja a támadó szerverét.

A hátsó ajtók veszélyesek, mert láthatatlanok a szokásos biztonsági ellenőrzések számára. Egy tűzfal látja a normál forgalmat. Egy víruskereső vizsgálat esetleg nem fogad el egyedi telepítéseket. A 2013-as Target incidens egy HVAC-gyártótól ellopott hitelesítő adatokkal kezdődött, majd a támadók hátsó ajtókat telepítettek, hogy hónapokig tartó kutatás során fenntartsák a hozzáférést. Az ellátási lánc támadásai hátsó ajtókat ültetnek be a szoftverfrissítésekbe, így több ezer szervezet telepíti azokat önként. A SolarWinds 2020-as kompromittálása pontosan ezt tette. A hátsó ajtók észlelése megköveteli a rendellenes viselkedés, a szokatlan kimenő kapcsolatok és a váratlan fióktevékenységek figyelését. Eltávolításuk gyakran azt jelenti, hogy az érintett rendszert a semmiből kell újraépíteni. Nem bízhatsz meg egy olyan gépben, amelyet valaki más irányított.

Hátsó ajtó típusok

• Hardcoded hitelesítő adatok – szoftverbe épített rejtett fiókok
• Távoli hozzáférésű trójaiak – olyan rosszindulatú programok, amelyek irányítást biztosítanak a támadónak
• Web shell-ek – szkriptek, amelyeket állandó hozzáférés céljából feltöltöttek egy szerverre.
• Ellátási láncba beültetett implantátumok – rosszindulatú kód beillesztve a legitim frissítésekbe

A hátsó ajtók nem mindig rosszindulatú eredetűek. Némelyik fejlesztési maradvány, amit soha nem távolítottak el. Ezek ugyanolyan veszélyesek.