New Linux PamDOORa Backdoor Uses PAM Modules to Steal SSH Credentials
Cybersecurity researchers have disclosed details of a new Linux backdoor named PamDOORa that's being advertised on the Rehub Russian cybercrime forum for $1,600 by a threat actor called "darkworm." The backdoor is designed as a Pluggable Authentication Module (PAM)-based post-exploitation toolkit...
Forscher haben Details zu einer neuen Linux-Backdoor namens PamDOORa veröffentlicht. Sie wird im russischen Cybercrime-Forum Rehub für 1.600 US-Dollar von einem Akteur namens darkworm beworben. Die Backdoor ist als PAM-basiertes Post-Exploitation-Toolkit konzipiert.
Linux-Systeme mit PAM; konkrete Distributionen oder Opfer sind nicht im Artikel angegeben.
Eine PAM-basierte Backdoor kann Authentifizierungsprozesse missbrauchen und nach einer Kompromittierung Credential-Zugriff oder Persistenz ermöglichen.
Nach initialer Kompromittierung wird PamDOORa als PAM-Modul eingesetzt und ermöglicht verdeckten Zugriff oder Diebstahl von SSH-Zugangsdaten.
PAM-Konfigurationen und Module auf nicht autorisierte Änderungen prüfen, SSH-Authentifizierungslogs kontrollieren und Integritätsüberwachung für PAM-Dateien aktivieren.
- ▸Defensiver Check: PAM-Modulverzeichnisse auf unbekannte oder kürzlich geänderte Module prüfen.
- ▸Defensiver Check: PAM-Konfigurationsdateien auf unautorisierte Einträge kontrollieren.
- ▸Defensiver Check: SSH-Login- und Authentifizierungslogs auf ungewöhnliche erfolgreiche oder fehlgeschlagene Anmeldungen prüfen.
| Taktik | Technik | Konfidenz | Beleg |
|---|---|---|---|
| Credential Access | T1556.003 Modify Authentication Process: Pluggable Authentication Modules | High | Der Artikel beschreibt PamDOORa als PAM-basiertes Post-Exploitation-Toolkit. |
| Credential Access | T1056 Input Capture | Low | Der Titel nennt den Diebstahl von SSH-Zugangsdaten; technische Details sind im Artikelauszug nicht enthalten. |
- Konkrete Verbreitungswege und IOCs sind nicht im Artikel angegeben.
- Betroffene Distributionen und Versionen sind nicht im Artikel angegeben.
- Details zur Funktionalität nach dem abgeschnittenen Artikeltext sind nicht im Artikel angegeben.