Backdoor PamDOORa: Robo de Credenciales SSH en Linux

Un nuevo backdoor para sistemas Linux, denominado PamDOORa, ha sido revelado por investigadores de seguridad, ofreciéndose en el foro de ciberdelincuencia ruso Rehub por 1.600 dólares. Este software, creado por el actor de amenazas conocido como “darkworm”, está diseñado como una herramienta de post-explotación basada en el Pluggable Authentication Module (PAM) que permite el acceso persistente a través de SSH mediante una contraseña mágica y una combinación específica de puertos TCP. La capacidad de este backdoor radica en la posibilidad de robar credenciales de todos los usuarios legítimos que se autentiquen a través del sistema comprometido. La amenaza representa un riesgo significativo, especialmente en entornos donde la seguridad PAM no está correctamente configurada o gestionada, y pone de manifiesto la vulnerabilidad inherente a la arquitectura PAM en sistemas Linux.

La aparición de PamDOORa se produce en un contexto de creciente sofisticación en los ataques cibernéticos dirigidos a infraestructuras críticas y empresas. En los últimos años, se ha observado un aumento en el uso de backdoors basados en PAM, aprovechando la complejidad de este sistema de autenticación para obtener acceso no autorizado. El sector de la ciberseguridad se encuentra en una carrera constante para anticiparse a estas amenazas, desarrollando herramientas de detección y respuesta, y concienciando a los usuarios sobre los riesgos asociados a la configuración incorrecta de los sistemas. La facilidad con la que se pueden explotar las vulnerabilidades en PAM subraya la necesidad de una vigilancia continua y una implementación rigurosa de las mejores prácticas de seguridad.

Análisis técnico

PamDOORa se basa en el Pluggable Authentication Module (PAM), un componente fundamental de los sistemas operativos Unix/Linux que permite a los administradores de sistemas integrar y gestionar múltiples mecanismos de autenticación. PAM funciona permitiendo la adición de módulos que controlan el acceso al sistema, pudiendo ser cambiados y actualizados sin necesidad de modificar las aplicaciones existentes. Sin embargo, esta modularidad introduce un riesgo inherente: una configuración incorrecta o una vulnerabilidad en uno de estos módulos puede ser explotada para obtener acceso no autorizado. El backdoor utiliza específicamente el módulo `pam_exec`, que permite ejecutar comandos externos, para inyectar scripts maliciosos en los archivos de configuración de PAM. Esto le permite al atacante obtener un shell privilegiado en el host y establecer una persistencia en el sistema, facilitando así la ejecución de actividades maliciosas.

El funcionamiento del backdoor implica la interceptación del tráfico de autenticación a través de SSH. Una vez que un usuario se autentica, PamDOORa captura las credenciales y las transmite al atacante. Además, el backdoor incorpora capacidades anti-forense para manipular los registros de autenticación y borrar cualquier rastro de actividad maliciosa. Esto dificulta enormemente la detección y la investigación de la intrusión. La inclusión de un “builder pipeline” indica que PamDOORa no es simplemente un script de prueba de concepto, sino una herramienta diseñada para ser utilizada por operadores de amenazas, lo que la hace más sofisticada y peligrosa. El uso de características como “triggers” conscientes de la red, además de la anti-depuración, sugiere un nivel de desarrollo y adaptación a entornos de red complejos.

El equipo de Flare.io, responsable del descubrimiento del backdoor, ha comparado PamDOORa con otros backdoors basados en PAM, como Plague, destacando las pequeñas diferencias en el diseño que sugieren que no hay una superposición significativa. Sin embargo, la sofisticación de PamDOORa, con su integración modular, capacidades anti-depuración y pipeline de construcción, la eleva a un nivel superior de funcionalidad, acercándola a herramientas de uso profesional para operadores de amenazas. La reducción del precio de venta de la herramienta, desde 1.600 dólares a 900 dólares, podría indicar una falta de interés por parte de los compradores o una estrategia para acelerar la venta.

Contexto y antecedentes

La aparición de PamDOORa se enmarca dentro de una tendencia preocupante en el sector de la ciberseguridad: el uso de backdoors basados en PAM como herramientas para obtener acceso no autorizado a sistemas Linux. Este tipo de backdoors aprovechan la complejidad del sistema PAM, que es un componente esencial para la autenticación en muchos sistemas Linux, para ocultar la presencia de malware y facilitar el acceso persistente a los sistemas. El descubrimiento de Plague, un backdoor similar, hace apenas un año, ya alertaba sobre la vulnerabilidad del PAM y la necesidad de una mayor vigilancia en este ámbito. La proliferación de herramientas como PamDOORa demuestra la creciente sofisticación de los actores de amenazas que buscan explotar las debilidades en los sistemas de autenticación para llevar a cabo ataques cibernéticos.

Además, la existencia de este backdoor se suma a un contexto de aumento en los ataques dirigidos a servidores SSH, que son un objetivo frecuente para los ciberdelincuentes debido a la importancia de SSH para la administración remota de sistemas. La amenaza de PamDOORa se alinea con otras tendencias, como el uso de malware que se infiltra a través de vulnerabilidades en software de terceros o el aprovechamiento de errores de configuración en los sistemas. La comunidad de seguridad está trabajando para concienciar sobre estos riesgos y desarrollar herramientas para proteger los sistemas contra estos ataques, pero la naturaleza dinámica de las amenazas cibernéticas requiere una vigilancia constante y una adaptación continua de las medidas de seguridad. El incidente se suma a la preocupación general sobre la seguridad de las redes y la necesidad de implementar controles de acceso más estrictos.

Impacto y afectados

El impacto de la divulgación de PamDOORa es significativo, ya que proporciona a los ciberdelincuentes una herramienta potente para obtener acceso no autorizado a sistemas Linux. Las empresas que utilizan sistemas basados en Linux, especialmente aquellas que dependen de SSH para la administración remota, se ven ahora expuestas a un mayor riesgo de ataque. El backdoor puede ser utilizado para robar credenciales, obtener un shell privilegiado en el sistema y, en última instancia, tomar el control del sistema. Los usuarios individuales que se autentican a través de sistemas comprometidos también pueden verse afectados, ya que sus credenciales pueden ser robadas y utilizadas para acceder a otros sistemas o servicios.

La escala del problema es difícil de determinar con exactitud, pero se estima que miles de sistemas Linux podrían estar vulnerables a este backdoor. El precio ofrecido por el actor de amenazas, 1.600 dólares, sugiere que PamDOORa está dirigido a un mercado de amenazas sofisticado y dispuesto a pagar por herramientas de este tipo. La capacidad de la herramienta para manipular los registros de autenticación y borrar cualquier rastro de actividad maliciosa dificulta enormemente la detección y la respuesta a los ataques. Si el backdoor ha sido utilizado en ataques reales, podría haber causado daños significativos a empresas y organizaciones, incluyendo la pérdida de datos, la interrupción de servicios y la exposición a otras amenazas cibernéticas.

Medidas de mitigación y recomendaciones

Ante la amenaza de PamDOORa, las organizaciones deben tomar medidas inmediatas para proteger sus sistemas Linux. En primer lugar, es fundamental identificar y eliminar cualquier instancia de PamDOORa que se encuentre en la red. Esto puede requerir una revisión exhaustiva de los sistemas y la utilización de herramientas de detección de malware. Además, es crucial reforzar la seguridad PAM, implementando las mejores prácticas de configuración, como la limitación de los privilegios de los módulos PAM, la monitorización de los registros de autenticación y la aplicación de parches de seguridad. Se recomienda deshabilitar el módulo `pam_exec` si no es necesario y revisar cuidadosamente cualquier configuración relacionada con SSH.

Las organizaciones también deben concienciar a sus usuarios sobre los riesgos asociados a la autenticación a través de SSH y fomentar el uso de métodos de autenticación más seguros, como las claves SSH. Es importante recordar que la contraseña mágica utilizada por PamDOORa es un factor de riesgo significativo y debe ser reemplazada por métodos de autenticación más robustos. Además, se recomienda implementar un cortafuegos para bloquear el acceso no autorizado a los puertos SSH y utilizar un software antivirus para detectar y eliminar malware. Es fundamental mantener el software actualizado con los últimos parches de seguridad, ya que estos parches suelen contener correcciones para vulnerabilidades que podrían ser explotadas por los ciberdelincuentes.

Conclusión

PamDOORa representa una amenaza seria para la seguridad de los sistemas Linux y pone de manifiesto la necesidad de una mayor vigilancia en el sector de la ciberseguridad. La herramienta, con su sofisticación y su capacidad para integrarse en un pipeline de amenazas, indica una evolución en las tácticas de los actores de amenazas que buscan explotar las vulnerabilidades en los sistemas de autenticación. La reducción del precio de venta de la herramienta sugiere que su disponibilidad y uso podrían aumentar en el futuro, lo que exige una respuesta proactiva por parte de las organizaciones y los profesionales de la seguridad.

La vulnerabilidad en el Pluggable Authentication Module (PAM) que permite la explotación de PamDOORa subraya la importancia de una gestión de la seguridad robusta y una comprensión profunda de los riesgos asociados a este componente. A largo plazo, la necesidad de fortalecer la seguridad PAM se hará aún más evidente a medida que los sistemas operativos evolucionen y las amenazas cibernéticas se vuelvan más sofisticadas. La comunidad de seguridad debe continuar desarrollando herramientas y técnicas para proteger los sistemas contra estas amenazas, y las organizaciones deben invertir en la formación y concienciación de sus empleados para garantizar que estén al tanto de los riesgos y sepan cómo protegerse.

---

Fuente original: The Hacker News