Een backdoor omzeilt de normale authenticatie. Soms is dit opzettelijk, ingebouwd door een ontwikkelaar voor onderhoud of debugging. Soms wordt het geplaatst door een aanvaller nadat die toegang heeft verkregen. In beide gevallen geeft het iemand toegang zonder via de voordeur te hoeven gaan. Een backdoor kan een verborgen account zijn met een vastgelegd wachtwoord, een geheim commando dat een shell opent, of een tool voor toegang op afstand die verbinding maakt met de server van een aanvaller.

Achterdeuren zijn gevaarlijk omdat ze onzichtbaar zijn voor standaard beveiligingsmaatregelen. Een firewall ziet normaal verkeer. Een antivirusscan kan een op maat gemaakte installatie missen. De Target-hack in 2013 begon met gestolen inloggegevens van een HVAC-leverancier. Vervolgens installeerden de aanvallers achterdeuren om maandenlang toegang te behouden. Bij supply chain-aanvallen worden achterdeuren in software-updates geplaatst, waardoor duizenden organisaties de achterdeur vrijwillig installeren. De SolarWinds-hack in 2020 deed precies dat. Het opsporen van achterdeuren vereist monitoring van afwijkend gedrag, ongebruikelijke uitgaande verbindingen en onverwachte accountactiviteit. Het verwijderen ervan betekent vaak dat het getroffen systeem volledig opnieuw moet worden opgebouwd. Je kunt een machine die door iemand anders is beheerd niet vertrouwen.

Achterdeurtypen

• Ingebedde inloggegevens — verborgen accounts ingebouwd in de software.
• Remote Access Trojans — malware waarmee een aanvaller de controle krijgt
• Webshells — scripts die naar een server worden geüpload voor permanente toegang.
• Supply chain implants — kwaadaardige code ingevoegd in legitieme updates

Achterdeuren zijn niet altijd kwaadaardig van aard. Sommige zijn overblijfselen van de ontwikkeling die nooit zijn verwijderd. Die zijn net zo gevaarlijk.