După spargere: ce fac atacatorii odată ce sunt deja înăuntru
de Claudiu Hulea · IT Management Consultant
Există un mit liniștitor despre atacuri: că, odată ce cineva intră, urmează imediat furtul de date sau ransomware-ul. În realitate, atacatorii își iau timp. Se instalează, creează backdoor-uri, își acoperă urmele și dezactivează instrumentele de detecție — uneori săptămâni întregi înainte să facă ceva vizibil. Iar lecția care contează cel mai mult: remedierea punctului de intrare e la fel de importantă ca ștergerea malware-ului.
Ce se întâmplă după ce atacatorul e deja înăuntru
O analiză reală a unui incident arată o progresie metodică — nu o lovitură, ci o instalare:
- Recunoaștere: atacatorul enumeră serviciile care rulează și exfiltrează ce a găsit — își face harta rețelei.
- Persistență: creează conturi de administrator neautorizate și activează Remote Desktop, ca să poată reveni oricând.
- Evaziune: dezactivează Windows Defender și evită instrumentele EDR, ca să nu fie observat.
- Payload: instalează module malițioase (de exemplu BadIIS, pentru fraudă în motoarele de căutare), un miner de criptomonedă (XMRig) cu fișiere ofuscate și descarcă scripturi PowerShell.
Fiecare pas e ales ca să adâncească accesul și să-l facă greu de scos.
De ce contează „dwell time“
Perioada în care atacatorul stă nedetectat — dwell time — e exact fereastra în care se transformă dintr-un intrus într-o problemă persistentă. Cu cât rămâne mai mult, cu atât mai multe backdoor-uri lasă, mai multe credențiale fură și mai adânc se înfige. Detecția rapidă nu e un lux; scurtează fereastra în care se poate instala.
Greșeala clasică: cureți simptomul, lași ușa deschisă
Cel mai frecvent eșec într-un răspuns la incident e să ștergi malware-ul găsit și să te oprești acolo. Dar dacă nu afli cum a intrat atacatorul, vectorul rămâne deschis — iar el revine, deseori prin backdoor-urile pe care deja le-a plantat. Într-un caz real, remedierea vulnerabilității de tip SQL injection care a permis intrarea a fost la fel de esențială ca eliminarea malware-ului instalat. Curățarea fără cauza rădăcină e o iluzie de siguranță.
Ce ai de făcut (mentalitatea „assume breach“)
Presupune că cineva va reuși să intre — și pregătește-te pentru după:
- Inventar de active la zi, pe toată infrastructura fizică și virtuală — nu poți apăra ce nu știi că ai.
- Reduce suprafața de atac: scoate serviciile inutile, porturile și conturile pe care nu le folosești.
- MFA pe accesele critice, ca un cont furat să nu fie de ajuns.
- Patch-uri consistente și monitorizarea aplicațiilor active.
- Investighează cauza rădăcină la fiecare incident — află exact cum a intrat atacatorul, nu te opri la curățarea de suprafață.
Ce reținem
Un atac nu se termină în momentul intrării — de-abia atunci începe partea în care atacatorul se instalează. De aceea apărarea reală înseamnă detecție rapidă, limitarea mișcării laterale și răspuns la incident care închide ușa, nu doar prevenție. Un audit de securitate reduce suprafața de atac și verifică ce ai expus, iar un test de penetrare arată cât de departe ar ajunge un atacator odată intrat. Când suspectezi o compromitere, răspunsul corect e o investigație cu cauză rădăcină — exact ca în anatomia unei compromiteri Magento.
Surse
Întrebări frecvente
Ce înseamnă „dwell time"?
Este perioada dintre momentul în care atacatorul obține accesul și cel în care este detectat sau oprit. Cu cât e mai lungă, cu atât atacatorul se instalează mai adânc — creează backdoor-uri, fură credențiale și se mișcă lateral prin rețea.
De ce nu e suficient să ștergi malware-ul găsit?
Pentru că ștergerea artefactelor nu închide vectorul de intrare. Dacă nu afli cum a intrat atacatorul (cauza rădăcină) și nu o remediezi, revine — deseori prin backdoor-urile pe care le-a lăsat deja, înainte să fie observat.
Ce înseamnă „assume breach"?
Este mentalitatea de securitate care presupune că un atacator va reuși (sau a reușit deja) să intre. În loc să mizezi doar pe prevenție, te concentrezi pe detecție rapidă, limitarea mișcării laterale și răspuns la incident.
Cum reduc riscul în faza post-breach?
Inventar de active la zi, eliminarea serviciilor inutile, autentificare multifactor (MFA), patch-uri consistente, monitorizare/EDR și investigarea cauzei rădăcină la fiecare incident, nu doar curățarea de suprafață.
