بک‌دور جدید لینوکسی PamDOORa از ماژول‌های PAM برای سرقت اطلاعات SSH استفاده می‌کند

محققان امنیت سایبری جزئیات یک درپشتی (backdoor) جدید لینوکس به نام PamDOORa را فاش کردند که توسط یک عامل تهدید با نام مستعار «darkworm» در انجمن جرایم سایبری روسی Rehub به فروش گذاشته شده است. این ابزار که ابتدا با قیمت ۱,۶۰۰ دلار در ۱۷ مارس ۲۰۲۶ عرضه شد، تا ۹ آوریل به حدود ۹۰۰ دلار کاهش یافت که نشان‌دهنده کمبود خریدار یا تلاش برای تسریع فروش است. PamDOORa به‌عنوان یک جعبه‌ابزار پس از نفوذ (post-exploitation toolkit) مبتنی بر ماژول احراز هویت قابل اتصال (PAM) طراحی شده و با استفاده از یک رمز عبور جادویی و ترکیب پورت TCP مشخص، دسترسی پایدار از طریق SSH را فراهم می‌کند. همچنین قادر است اعتبارنامه‌های (credentials) تمام کاربران قانونی که از طریق سیستم آلوده احراز هویت می‌کنند را سرقت کند.

به گفته محقق شرکت Flare.io، این بدافزار علاوه بر سرقت اعتبارنامه، دارای قابلیت‌های ضدجرم‌شناسی دیجیتال (anti-forensic) است و به‌طور هدفمند گزارش‌های احراز هویت را دستکاری می‌کند تا ردپای فعالیت مخرب را پاک کند. PamDOORa دومین درپشتی لینوکس هدف‌گیرنده پشته PAM پس از Plague محسوب می‌شود. هرچند تاکنون شواهدی از استفاده واقعی از این بدافزار در حملات گزارش نشده، اما زنجیره‌های آلودگی احتمالاً مستلزم دسترسی اولیه مهاجم به سطح root از طریق روش‌های دیگر است. این محقق تأکید کرد که PamDOORa با ادغام تکنیک‌های شناخته‌شده در یک ایمپلنت (implant) ماژولار منسجم با قابلیت‌های ضداشکال‌زدایی (anti-debugging) و راه‌اندازهای آگاه از شبکه، به ابزاری در سطح عملیاتی حرفه‌ای نزدیک‌تر است تا اسکریپت‌های اثبات مفهوم (proof-of-concept) معمول.