Un artefatto post-sfruttamento è un file, una modifica al sistema o una traccia nei log lasciati dopo che un aggressore ha ottenuto l’accesso. Tra gli esempi figurano un plugin sconosciuto o una web shell, file di configurazione modificati, account creati di recente e voci insolite nei log del server web.
Questi artefatti aiutano i difensori a indagare per stabilire se un sistema vulnerabile sia stato effettivamente compromesso e cosa possa aver fatto l’aggressore. In un incidente che riguarda WordPress, aggiornare il Core può chiudere una via d’accesso, ma non rimuove i file scritti dall’aggressore né annulla altre modifiche. Controllate le modifiche recenti ai file e le directory dei plugin, esaminate i log alla ricerca di richieste sospette e indagate sugli account o sulle modifiche di configurazione inattesi. Considerate i risultati come elementi da valutare, non come prove di per sé: anche le normali attività di manutenzione o di sistema possono creare tracce insolite.