Бэкдор обходит обычную аутентификацию. Иногда он создается намеренно, разработчиком для обслуживания или отладки. Иногда его устанавливает злоумышленник после получения доступа. В любом случае, он позволяет проникнуть внутрь, минуя главный вход. Бэкдор может представлять собой скрытую учетную запись с жестко закодированным паролем, секретную команду, открывающую командную оболочку, или инструмент удаленного доступа, который связывается с сервером злоумышленника.

Бэкдоры опасны, потому что они невидимы для стандартных средств защиты. Брандмауэр видит обычный трафик. Антивирусное сканирование может пропустить внедренный вредоносный модуль. Взлом Target в 2013 году начался с кражи учетных данных у поставщика оборудования для отопления, вентиляции и кондиционирования, после чего злоумышленники установили бэкдоры, чтобы сохранить доступ в течение нескольких месяцев. Атаки на цепочки поставок внедряют бэкдоры в обновления программного обеспечения, поэтому тысячи организаций устанавливают их добровольно. Взлом SolarWinds в 2020 году сделал именно это. Обнаружение бэкдоров требует мониторинга аномального поведения, необычных исходящих соединений и неожиданной активности учетных записей. Удаление их часто означает перестройку затронутой системы с нуля. Нельзя доверять машине, которой кто-то другой управлял.

Типы бэкдоров

• Встроенные учетные данные — скрытые учетные записи, встроенные в программное обеспечение.
• Трояны удаленного доступа — вредоносное ПО, предоставляющее злоумышленнику контроль над ситуацией.
• Веб-оболочки — скрипты, загружаемые на сервер для постоянного доступа.
• Внедрение вредоносного кода в цепочки поставок — встраивание вредоносного кода в легитимные обновления.

Бэкдоры не всегда имеют вредоносное происхождение. Некоторые из них — это остатки от разработки, которые так и не были удалены. Они не менее опасны.