PamDOORa o backdoor que se oculta em PAM e rouba credenciais em Linux

Um novo backdoor para Linux batizado como PamDOORa Tem sido descrito por pesquisadores de segurança e posto à venda em fóruns do cibercrime, o que volta a colocar o foco sobre um vetor antigo mas perigoso: os módulos PAM. Ao contrário de muitas ferramentas de teste de conceito, PamDOORa é um kit pós-explotação pensado para se integrar na pilha de autenticação do Unix/Linux e oferecer acesso persistente por SSH através de uma combinação de "contraseña mágica" e porto TCP específico, além de capturar credenciais de usuários legítimos que passem pelo sistema comprometido.

O problema central reside em que os módulos PAM costumam ser executados com privilégios de root; portanto, uma modificação maliciosa não só permite logins não autorizados, mas pode roubar credenciais em claro, modificar o fluxo de autenticação e dificultar a detecção. PAM é uma peça crítica da plataforma — documentação oficial e recursos encontram-se em linux-pam.org — e qualquer abuso nesse espaço tem impacto direto sobre a confiança no sistema de login, incluindo OpenSSH ( openssh.com).

Os autores atrás de PamDOORa, que se anunciam em um fórum chamado Rehub sob o alias "darkworm", mostraram uma abordagem mais profissional que os testes públicos anteriores: o implante combina hooks em PAM, captura de credenciais, deturpação de registros e funções anti-forense, além de um sistema de construção modular para gerar variantes. Este empacotamento converte técnicas conhecidas em uma ferramenta operacional lista para sua implantação por atacantes com acesso prévio ao host.

É importante salientar que, segundo as análises, PamDOORa parece exigir privilégios de root para sua instalação, sugerindo um padrão de ataque em duas fases: primeiro obter elevação de privilégios por outro meio, e depois implantar o módulo PAM para consolidar acesso e coletar segredos. O facto de o vendedor ter reduzido o preço de lançamento de 1.600 a cerca de 900 dólares em poucas semanas pode ser interpretado como sinal de um mercado com pouca demanda ou urgência por monetizar, mas não resta gravidade técnica à ameaça.

Do ponto de vista operacional, a combinação de persistência através de PAM e manipulação de registos complica a detecção forense. Um SOC que dependa apenas dos logs locais poderia não ver a atividade suspeita se esses foram alterados. Além disso, a presença de mecanismos anti-depuração e triggers dependentes da rede em PamDOORa eleva sua capacidade para permanecer latente até condições concretas e reduzir a exposição à análise.

As medidas defensivas devem priorizar a prevenção da inserção de módulos não autorizados e a detecção precoce de modificações na superfície PAM. Convém auditar de imediato pastas e ficheiros que hospedam módulos PAM, verificar somas e assinaturas de pacotes do sistema, e aplicar controle de integridade de arquivos através de ferramentas como AIDE ou similares. Também é crítico limitar quem pode escrever em /lib/security, /lib64/security e /etc/pam.d, e rever qualquer uso legítimo de pam_exec, que pode ser abusado para executar código arbitrário durante a autenticação.

Em paralelo, o OpenSSH reduz a eficácia deste tipo de backdoors: desactivar a autenticação por senha quando possível, preferir chaves e certificados, exigir autenticação multifator (MFA) integrada no PAM, e monitorizar as tentativas de ligação a portos não- padrão ou padrões anormais de sessão. Para equipes de resposta a incidentes, assumir que a presença de um módulo PAM suspeito implica comprometimento sistêmico e executar um isolamento completo, reimágenes de hosts e rotação de credenciais é a via mais segura.

A detecção também requer visibilidade fora do host: correlacionar eventos de autenticação com registros de rede e sistemas centrais de logging, empregar EDR com capacidade para detectar cargas incomuns em memória e chamadas ao kernel, e usar ferramentas de análise de configuração para detectar mudanças nos arquivos PAM. Para organizações que gerem dados sensíveis, considerar políticas de integridade da cadeia de fornecimento de pacotes e assinaturas reprodutíveis reduz a probabilidade de um atacante colocar um módulo malicioso sem ser detectado.

Além da resposta técnica, este incidente é um lembrete de que mesmo componentes "maduros" como PAM podem se tornar vetores críticos quando se trata com laxitude administrativa. A comunidade de segurança deve continuar documentando e compartilhando indicadores de compromisso, enquanto os administradores devem operar com o princípio de mínimo privilégio, aplicar segmentação de rede e revisar com prioridade os acessos root e as mudanças na configuração de autenticação.

Para aprofundar os riscos associados a módulos PAM e exemplos prévios de abuso, consultar a literatura técnica e os blogs especializados, bem como os repositórios oficiais de documentação PAM e OpenSSH. Os equipamentos que detectem anomalias relacionadas com autenticação ou módulos recentemente instalados devem activar o seu protocolo de resposta, preservar evidências e coordenar com fornecedores de segurança para a contenção e remediação.