Un impianto di tunneling è un malware che inoltra il traffico di rete attraverso un host compromesso, creando un canale furtivo per l’accesso remoto. Può consentire a un operatore di comunicare con i sistemi all’interno della rete della vittima tramite il dispositivo infetto, talvolta facendo sembrare quel traffico simile alla normale attività di rete.
Durante un’intrusione, questo accesso può favorire un ulteriore controllo o spostamento, ma la sua sola presenza non dimostra che siano stati sottratti dati o distribuito un ransomware. I difensori possono cercare connessioni in uscita insolite, processi o script imprevisti e host che inoltrano traffico che normalmente non gestiscono. Indagare sull’impianto e contenerlo può interrompere l’accesso dell’attaccante prima che si verifichino le fasi successive dell’attacco.