Investigadores descubrieron PamDOORa, un nuevo backdoor para Linux basado en el sistema de autenticación PAM que se vende en foros de cibercrimen rusos. Esta herramienta permite el acceso persistente vía SSH mediante contraseñas maestras, roba credenciales de usuarios legítimos y borra rastros en los registros del sistema. Al ejecutarse con privilegios de root, representa un riesgo crítico de seguridad para los servidores afectados.








Investigadores de ciberseguridad han revelado detalles de un nuevo backdoor de Linux llamado PamDOORa, que está siendo anunciado en el foro de cibercrimen ruso Rehub por 1.600 dólares por un actor de amenazas llamado "darkworm".

El backdoor está diseñado como un kit de post-explotación basado en el Módulo de Autenticación Enchufable (PAM PAM) que permite el acceso persistente a SSH mediante una contraseña mágica y una combinación específica de puerto TCP. También es capaz de recopilar credenciales de todos los usuarios legítimos que se autentiquen a través del sistema comprometido.

"La herramienta, llamada PamDOORa, es un nuevo backdoor basado en PAM, diseñado para servir como un backdoor de post-explotación, permitiendo la autenticación a servidores a través de OpenSSH", dijo el investigador de Flare.io Assaf Morag en un informe técnico. "Presuntamente, esto permanecería persistente en sistemas Linux (x86_64)".

PamDOORa es el segundo backdoor de Linux que apunta a la pila PAM después de Plague. PAM es un marco de seguridad en los sistemas operativos Unix/Linux que otorga a los administradores del sistema la capacidad de incorporar múltiples mecanismos de autenticación o actualizarlos (por ejemplo, cambiar contraseñas por biometría) en un sistema existente mediante el uso de módulos enchufables sin necesidad de reescribir las aplicaciones existentes.


Debido a que los módulos PAM normalmente se ejecutan con privilegios de root privilegios de root, un módulo comprometido, mal configurado o malicioso puede introducir riesgos de seguridad significativos y abrir la puerta a la recopilación de credenciales y el acceso no autorizado.

"A pesar de sus fortalezas, la modularidad del Módulo de Autenticación Enchufable (PAM) introduce riesgos, ya que las modificaciones maliciosas en los módulos PAM pueden crear backdoors o robar credenciales de usuario, especialmente porque PAM no almacena contraseñas sino que transmite valores en texto plano", señaló Group-IB en septiembre de 2024.