俄羅斯黑客論壇Rehub上，一個叫"darkworm"的賣家正在兜售一款名為PamDOORa的Linux后門工具。開價(jià)1600美元，不到一個月就腰斬到900美元——是沒人買，還是急著脫手？

Flare.io的安全研究員Assaf Morag在最新技術(shù)報(bào)告中披露了這款工具的運(yùn)作機(jī)制。PamDOORa的核心設(shè)計(jì)很直接：它把自己偽裝成PAM模塊，埋伏在Linux系統(tǒng)的認(rèn)證流程里。

PAM（可插拔認(rèn)證模塊）是Unix/Linux系統(tǒng)的標(biāo)準(zhǔn)安全框架。系統(tǒng)管理員靠它靈活配置登錄方式——密碼、指紋、硬件密鑰都能切換，不用重寫應(yīng)用程序。但這也成了攻擊者的突破口：PAM模塊通常以root權(quán)限運(yùn)行，一旦被篡改，整個系統(tǒng)的認(rèn)證環(huán)節(jié)就暴露了。

PamDOORa的玩法分兩步。第一步，它通過"魔法密碼+特定TCP端口"的組合，給攻擊者留一條隱蔽的SSH后門。第二步，它竊取所有正常用戶的登錄憑證——誰用這臺服務(wù)器，密碼就歸誰。

這并非孤例。Group-IB去年9月就警告過PAM模塊的風(fēng)險(xiǎn)："PAM本身不存儲密碼，但會以明文傳輸認(rèn)證值。"pam_exec模塊尤其危險(xiǎn)——它允許執(zhí)行外部命令，攻擊者只要把惡意腳本注入PAM配置文件，就能拿到特權(quán)shell。

新加坡這家安全廠商當(dāng)時演示了完整攻擊鏈：篡改SSH認(rèn)證的PAM配置，通過pam_exec執(zhí)行腳本，最終獲得隱蔽的持久化訪問權(quán)限。

PamDOORa在此基礎(chǔ)上更進(jìn)一步——它自帶反取證功能，會系統(tǒng)性地篡改認(rèn)證日志，抹除入侵痕跡。

目前尚無證據(jù)表明該后門已用于真實(shí)攻擊。但Flare.io推測，典型的感染路徑大概是：攻擊者先通過其他手段拿到目標(biāo)主機(jī)的root權(quán)限，再部署PamDOORa模塊，完成憑證竊取和持久化SSH訪問的部署。

定價(jià)策略的變化值得玩味。3月17日掛出1600美元，4月9日降到900美元，降幅接近50%。是產(chǎn)品口碑撲街，還是賣家現(xiàn)金流緊張？暗網(wǎng)交易沒有用戶評價(jià)，只能靠價(jià)格信號猜測。

這是繼Plague之后，第二個公開針對PAM技術(shù)棧的Linux后門。當(dāng)系統(tǒng)靈活性的設(shè)計(jì)優(yōu)勢被逆向利用，安全團(tuán)隊(duì)需要重新審視：那些為了"方便管理"而開放的模塊接口，是否已經(jīng)成了最安靜的竊聽通道？