Backdoor (Tylna furtka)
Backdoor to mechanizm dostępu do systemu, aplikacji albo urządzenia, który omija zwykłą ścieżkę uwierzytelniania albo kontroli. Może być kontem, które nie widać w panelu. Ukrytym listenerem na porcie. Magycznym parametrem w API. Zmodyfikowanym firmware. Wspólnym mianownikiem jest trwałość i dyskrecja: ktoś chce wejść ponownie, nawet gdy ofiara zmieni “oficjalne” hasło.
Na blackweb.pl rozróżniam trzy źródła, bo mylenie ich psuje analizę. Backdoor zostawiony przez autora “na serwis”. Backdoor wbity przez napastnika po kompromisie. Backdoor w łańcuchu dostaw (zależność, obraz, aktualizacja). Inny motyw, podobny skutek dla threat modelu.
Celowy w produkcie
Producenci routerów, kamer i “inteligentnych” gadżetów czasem zostawiają konta diagnostyczne, nieudokumentowane usługi telnet albo hardkodowane hasła. Argument bywa wygodą wsparcia. Skutek bywa skanem internetu i botami, które zgadują te same sekrety na tysiącach IP. Historia IoT i botnetów (Mirai i następcy) siedzi na tym gruncie. Legalny “serwis” bez rotacji i bez dokumentacji dla właściciela urządzenia jest ryzykiem, nie detaliczną funkcją.
W oprogramowaniu enterprise bywają tryby debug, które ktoś zapomniał wyłączyć przed release. Code review i SBOM nie są modą. Są odpowiedzią na pytanie, czy wiesz, co naprawdę działa w binarkach.
Złośliwy po włamaniu
Po uzyskaniu dostępu napastnik często instaluje własną furtkę: webshell na serwerze HTTP, zmodyfikowany sshd, zaplanowane zadanie, rootkit w kernelu, regułę w firewallu “dla siebie”. Cel: wrócić po restarcie i po zmianie haseł użytkowników. Incident response, które tylko “wyrzuca malware i zmienia hasło admina”, a nie szuka trwałości, często przegrywa drugą rundę.
Trojan i dropper bywają wektorem wejścia. Backdoor jest tym, co zostaje. Spyware i infostealer mogą współistnieć w tym samym łańcuchu. W aktach forensycznych szuka się artefaktów autostartu, nietypowych certyfikatów, nieznanych kluczy SSH, dziwnych cronów.
Łańcuch dostaw
Kompromis biblioteki, kompilatora albo kanału aktualizacji potrafi włożyć furtkę do tysięcy organizacji naraz. To rzadkie w skali nagłówków, ale drogie w skutkach. Zaufanie do vendorów i podpisów aktualizacji należy do modelu, nie do wiary.
Obrona i wykrywanie (opis)
Inwentaryzacja kont i kluczy. Wyłączenie zbędnych usług na brzegu. Monitorowanie nowych listenerów i nietypowego ruchu wychodzącego. Reinstalacja z zaufanego obrazu zamiast “czyszczenia na żywo”, gdy podejrzewasz rootkita. Rotacja sekretów po incydencie. Segmentacja, żeby jedna furtka nie otwierała całej domeny.
Nie podaję tu technik ukrywania ani listy webshelli. Podaję ramę: backdoor to problem zaufania i trwałości dostępu. Opsec na stacji administracyjnej ma sens dopiero wtedy, gdy zakładacie, że kompromis mógł zostawić drugi klucz.