La distribuzione di una backdoor è l'atto di inserire un accesso non autorizzato su un server o un'applicazione in modo che un attaccante possa tornare in seguito senza passare attraverso la normale autenticazione. Una backdoor può essere un account nascosto, una web shell, un servizio modificato, un'attività pianificata o un altro meccanismo di persistenza che sopravvive a una pulizia di base.
Questo è importante perché trasforma una compromissione una tantum in un controllo continuo. Nella sicurezza informatica, le backdoor vengono utilizzate dopo l'accesso iniziale per mantenere punti d'appoggio, ricaricare malware, rubare dati o modificare di nuovo in seguito le impostazioni del sistema. Nei server che gestiscono software, repository o pipeline di compilazione, una backdoor può anche compromettere la fiducia nei file che altri sistemi scaricano e utilizzano. I difensori cercano utenti inattesi, nuovi file, elementi di avvio modificati, attività amministrative sospette e connessioni di rete che non corrispondono all'amministrazione normale. Rimuovere l'exploit visibile non basta; la risposta agli incidenti deve anche verificare che non rimanga alcun accesso nascosto.