PamDOORa la porte cachée dans PAM et voler les identifiants dans Linux

Une nouvelle porte arrière pour Linux baptisée PamDOORA a été décrit par des chercheurs en sécurité et mis en vente dans les forums de cybercriminalité, qui met à nouveau l'accent sur un vecteur ancien mais dangereux: les modules PAM. Contrairement à de nombreux outils de test de concept, PamDOORa est un kit post-exploitation conçu pour intégrer dans la pile d'authentification Unix / Linux et fournir un accès SSH persistant par une combinaison de "mot de passe magique" et de port TCP spécifique, en plus de saisir les pouvoirs des utilisateurs légitimes passant par le système compromis.

Le problème central est que les modules PAM sont généralement exécutés avec des privilèges racine; par conséquent, une modification malveillante non seulement permet une connexion non autorisée, mais peut voler des identifiants clairs, modifier le flux d'authentification et rendre la détection difficile. PAM est un élément critique de la plate-forme - documentation officielle et ressources se trouvent dans linux-pam.org- et tout abus dans cet espace a un impact direct sur la confiance dans le système de connexion, y compris OpenSSH ( opensh.com).

Les auteurs de PamDOORa, qui sont annoncés dans un forum appelé Rehub sous le pseudonyme de « vers foncés », ont montré une approche plus professionnelle que les preuves publiques précédentes: l'implant combine des crochets dans PAM, la capture des références, la fausse représentation des dossiers et des fonctions anti-forensiques, ainsi qu'un système de construction modulaire pour générer des variantes. Cet emballage transforme les techniques connues en un outil opérationnel prêt à être déployé par les attaquants ayant un accès préalable à l'hôte.

Il est important de souligner que, selon l'analyse, PamDOORa semble exiger des privilèges root pour son installation, ce qui suggère un schéma d'attaque en deux phases : d'abord obtenir une levée de privilèges par un autre moyen, puis déployer le module PAM pour consolider l'accès et recueillir des secrets. Le fait que le vendeur ait réduit le prix de lancement de 1 600 $ à environ 900 $ en quelques semaines peut être interprété comme un signe d'un marché à faible demande ou l'urgence de monétiser, mais ne soustrait pas la gravité technique de la menace.

Du point de vue opérationnel, la combinaison persistance par PAM et traitement des dossiers complique la détection légale. Un SOC qui ne dépend que d'une connexion locale peut ne pas voir l'activité suspecte si elle a été modifiée. En outre, la présence de déclencheurs antidébogue et dépendant du réseau chez PamDOORa augmente sa capacité à rester latente à des conditions spécifiques et à réduire l'exposition à l'analyse.

Les mesures défensives devraient donner la priorité à la prévention de l'insertion de modules non autorisés et à la détection précoce des changements de surface du PAM. Il convient de vérifier immédiatement les répertoires et les fichiers qui hébergent les modules PAM, de vérifier les montants et les signatures des paquets système et d'appliquer le contrôle d'intégrité des fichiers à l'aide d'outils tels que AIDE ou similaires. Il est également essentiel de limiter qui peut écrire dans / lib / security, / lib64 / security et / etc / pam.d, et revoir toute utilisation légitime de pam _ exec, qui peut être abusée pour exécuter le code arbitraire pendant l'authentification.

Parallèlement, le durcisseur OpenSSH réduit l'efficacité de ce type de portes arrières : désactiver l'authentification par mot de passe lorsque c'est possible, préférer les clés et les certificats, exiger l'authentification multifacteur intégrée par PAM (MFA) et surveiller les tentatives de connexion à des ports non standard ou à des modèles de session anormales. Pour les équipes d'intervention en cas d'incident, supposons que la présence d'un module PAM suspect implique un engagement systémique et exécute un isolement complet, que les images des hôtes et la rotation des références sont les plus sûres.

La détection nécessite également une visibilité hors de l'hôte : corréler les événements d'authentification avec les enregistrements réseau et les systèmes centraux d'enregistrement, utiliser EDR avec la capacité de détecter les charges de mémoire inhabituelles et les appels du noyau, et utiliser des outils d'analyse de configuration pour détecter les changements dans les fichiers PAM. Pour les organisations qui traitent des données sensibles, compte tenu de l'intégrité de la chaîne d'approvisionnement des paquets et des signatures reproductibles réduit la probabilité qu'un attaquant place un module malveillant sans être détecté.

Au-delà de la réponse technique, cet incident rappelle que même les composants « matures » tels que PAM peuvent devenir des vecteurs critiques lorsqu'ils sont traités avec un laxité administratif. La communauté de la sécurité devrait continuer de documenter et de partager des indicateurs d'engagement, tandis que les gestionnaires devraient appliquer le principe du privilège minimum, appliquer la segmentation du réseau et examiner l'accès à la racine et les changements dans les paramètres d'authentification en priorité.

Afin d'approfondir les risques associés aux modules PAM et aux exemples précédents d'abus, la littérature technique et les blogs spécialisés, ainsi que les dépôts officiels de documentation de PAM et OpenSSH, sont disponibles. L'équipement qui détecte les anomalies liées à l'authentification ou les modules nouvellement installés devrait activer leur protocole d'intervention, préserver les preuves et coordonner avec les fournisseurs de sécurité pour le confinement et la médiation.