一個(gè)俄羅斯黑客論壇上的降價(jià)廣告，正在把Linux服務(wù)器的最后一道防線變成篩子。PamDOORa后門從1600美元砍到900美元甩賣，不是因?yàn)闆]人要，而是因?yàn)橘u的人急著脫手——而買的人，現(xiàn)在可能已經(jīng)盯上了你的SSH登錄。

　　這個(gè)后門最陰險(xiǎn)的地方在于，它不躲在你能看到的進(jìn)程列表里。它直接鉆進(jìn)Linux的PAM（可插拔認(rèn)證模塊）框架——就是那個(gè)每次你輸密碼、系統(tǒng)決定讓不讓你進(jìn)的底層機(jī)制。Group-IB的研究人員發(fā)現(xiàn)，PamDOORa利用的是pam_exec模塊，一個(gè)本來用來在認(rèn)證時(shí)執(zhí)行外部命令的標(biāo)準(zhǔn)組件。你的密碼剛輸進(jìn)去，還沒被系統(tǒng)記錄，它就已經(jīng)被抄走了。

　　更麻煩的是，這種濫用方式還沒被寫進(jìn)MITRE ATT&CK框架。也就是說，大多數(shù)安全團(tuán)隊(duì)的防御清單里，根本沒有這一行。賣這個(gè)工具的人在Rehub論壇叫"darkworm"，代碼片段顯示他對(duì)Linux內(nèi)核相當(dāng)熟悉——不是那種從GitHub抄來改改就賣的腳本小子。

　　PamDOORa的隱蔽性不止于偷密碼。它會(huì)篡改lastlog、btmp、utmp、wtmp這些認(rèn)證日志文件，把攻擊者連進(jìn)來的痕跡抹得干干凈凈。想象一下：應(yīng)急響應(yīng)團(tuán)隊(duì)接到通知，SSH進(jìn)服務(wù)器查入侵，結(jié)果自己的憑證在登錄瞬間就被后門截獲。你以為是來救火，其實(shí)是來送柴。

　　這個(gè)后門屬于"后滲透"工具，意味著攻擊者得手前已經(jīng)拿到了root權(quán)限。安裝后，它會(huì)釋放一個(gè)叫pam_linux.so的惡意模塊，混在一堆正常的系統(tǒng)模塊里加載，不替換任何文件，只是多出來一個(gè)"自己人"。遠(yuǎn)程控制靠一個(gè)特定TCP端口加上只有攻擊者知道的"魔法密碼"，掃描連接、匹配條件、放行入場(chǎng)——全程靜默。

　　900美元的定價(jià)策略本身就說明問題。要么是市場(chǎng)測(cè)試發(fā)現(xiàn)買家不多，要么是作者想快速變現(xiàn)后抽身。無論哪種，都指向同一個(gè)結(jié)論：這類攻擊的門檻正在急速降低。過去需要從零寫內(nèi)核模塊的活兒，現(xiàn)在開箱即用，還附贈(zèng)技術(shù)支持（論壇廣告里承諾的）。

　　對(duì)運(yùn)維團(tuán)隊(duì)來說，PAM層一直是監(jiān)控盲區(qū)。大家看進(jìn)程、看網(wǎng)絡(luò)、看文件完整性，但很少有人去審計(jì)認(rèn)證模塊的加載鏈。PamDOORa吃準(zhǔn)的就是這個(gè)縫隙。防御建議說起來簡(jiǎn)單：校驗(yàn)PAM配置文件的完整性，監(jiān)控pam_exec的非預(yù)期調(diào)用，對(duì)lastlog等日志做只讀保護(hù)或遠(yuǎn)程同步。但執(zhí)行層面，有多少生產(chǎn)環(huán)境真的做到了？

　　Linux服務(wù)器的信任鏈，從登錄框開始。當(dāng)那個(gè)框本身被攻破，后面的一切防御都是馬奇諾防線。