Aanvallers gebruiken webshells om langdurige toegang te behouden op gecompromitteerde webservers via kwetsbaarheden voor bestandsupload en remote code execution.
Webshells blijven een populaire methode voor aanvallers om persistentie te behouden op gecompromitteerde webservers. Veel kwetsbaarheden die het mogelijk maken om willekeurige bestanden te schrijven of remote code uit te voeren, worden misbruikt om kleine bestanden op systemen te plaatsen. Deze bestanden kunnen later worden gebruikt om extra schadelijke payloads uit te voeren.
De namen van deze webshell-bestanden veranderen voortdurend en worden vaak zo gekozen dat ze opgaan in de bestaande bestanden op de server. Daarnaast worden webshells ook vaak ingezet bij parasitaire aanvallen om een server verder te compromitteren. Opmerkelijk is dat aanvallers niet altijd sterke wachtwoorden gebruiken voor deze webshells, wat mogelijk kansen biedt voor detectie en mitigatie.
