PamDOORa el backdoor que se oculta en PAM y roba credenciales en Linux

Un nuevo backdoor para Linux bautizado como PamDOORa ha sido descrito por investigadores de seguridad y puesto a la venta en foros del cibercrimen, lo que vuelve a poner el foco sobre un vector antiguo pero peligroso: los módulos PAM. A diferencia de muchas herramientas de prueba de concepto, PamDOORa es un kit post-explotación pensado para integrarse en la pila de autenticación de Unix/Linux y ofrecer acceso persistente por SSH mediante una combinación de "contraseña mágica" y puerto TCP específico, además de capturar credenciales de usuarios legítimos que pasen por el sistema comprometido.

El problema central reside en que los módulos PAM suelen ejecutarse con privilegios de root; por tanto, una modificación maliciosa no solo permite logins no autorizados sino que puede robar credenciales en claro, modificar el flujo de autenticación y dificultar la detección. PAM es una pieza crítica de la plataforma —documentación oficial y recursos se encuentran en linux-pam.org— y cualquier abuso en ese espacio tiene impacto directo sobre la confianza en el sistema de login, incluido OpenSSH (openssh.com).

Los autores detrás de PamDOORa, que se anuncian en un foro llamado Rehub bajo el alias "darkworm", han mostrado un enfoque más profesional que las pruebas públicas anteriores: el implante combina hooks en PAM, captura de credenciales, tergiversación de registros y funciones anti-forense, además de un sistema de construcción modular para generar variantes. Este empaquetado convierte técnicas conocidas en una herramienta operativa lista para su despliegue por atacantes con acceso previo al host.

Es importante subrayar que, según los análisis, PamDOORa parece requerir privilegios de root para su instalación, lo que sugiere un patrón de ataque en dos fases: primero obtener elevación de privilegios por otro medio, y después desplegar el módulo PAM para consolidar acceso y recolectar secretos. El hecho de que el vendedor haya reducido el precio de lanzamiento de 1.600 a alrededor de 900 dólares en pocas semanas puede interpretarse como señal de un mercado con escasa demanda o la urgencia por monetizar, pero no resta gravedad técnica a la amenaza.

Desde el punto de vista operativo, la combinación de persistencia a través de PAM y manipulación de registros complica la detección forense. Un SOC que dependa únicamente de los logs locales podría no ver la actividad sospechosa si estos han sido alterados. Además, la presencia de mecanismos anti-depuración y triggers dependientes de la red en PamDOORa eleva su capacidad para permanecer latente hasta condiciones concretas y reducir la exposición a análisis.

Las medidas defensivas deben priorizar la prevención de la inserción de módulos no autorizados y la detección temprana de modificaciones en la superficie PAM. Conviene auditar de inmediato directorios y archivos que alojan módulos PAM, verificar sumas y firmas de paquetes del sistema, y aplicar control de integridad de archivos mediante herramientas como AIDE o similares. También es crítico limitar quién puede escribir en /lib/security, /lib64/security y /etc/pam.d, y revisar cualquier uso legítimo de pam_exec, que puede ser abusado para ejecutar código arbitrario durante la autenticación.

En paralelo, endurecer OpenSSH reduce la eficacia de este tipo de backdoors: deshabilitar la autenticación por contraseña cuando sea posible, preferir claves y certificados, exigir autenticación multifactor (MFA) integrada en PAM, y monitorizar intentos de conexión a puertos no estándar o patrones anómalos de sesión. Para equipos de respuesta a incidentes, asumir que la presencia de un módulo PAM sospechoso implica compromiso sistémico y ejecutar un aislamiento completo, reimágenes de hosts y rotación de credenciales es la vía más segura.

La detección también requiere visibilidad fuera del host: correlacionar eventos de autenticación con registros de red y sistemas centrales de logging, emplear EDR con capacidad para detectar cargas inusuales en memoria y llamadas al kernel, y usar herramientas de análisis de configuración para detectar cambios en los archivos de PAM. Para organizaciones que manejan datos sensibles, considerar políticas de integridad de la cadena de suministro de paquetes y firmas reproducibles reduce la probabilidad de que un atacante coloque un módulo malicioso sin ser detectado.

Más allá de la respuesta técnica, este incidente es un recordatorio de que incluso componentes "maduros" como PAM pueden convertirse en vectores críticos cuando se los trata con laxitud administrativa. La comunidad de seguridad debe seguir documentando y compartiendo indicadores de compromiso, mientras que los administradores deben operar con el principio de mínimo privilegio, aplicar segmentación de red y revisar con prioridad los accesos root y los cambios en la configuración de autenticación.

Para profundizar en los riesgos asociados a módulos PAM y ejemplos previos de abuso puede consultarse la literatura técnica y los blogs especializados, así como los repositorios oficiales de documentación de PAM y OpenSSH. Los equipos que detecten anomalías relacionadas con autenticación o módulos instalados recientemente deberían activar su protocolo de respuesta, preservar evidencias y coordinar con proveedores de seguridad para la contención y remediación.