{"id":805,"date":"2026-05-08T13:13:42","date_gmt":"2026-05-08T13:13:42","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/08\/la-nueva-puerta-trasera-pamdoora-de-linux-utiliza-modulos-pam-para-robar-credenciales-ssh-cyberdefensa-mx\/"},"modified":"2026-05-08T13:13:42","modified_gmt":"2026-05-08T13:13:42","slug":"la-nueva-puerta-trasera-pamdoora-de-linux-utiliza-modulos-pam-para-robar-credenciales-ssh-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/08\/la-nueva-puerta-trasera-pamdoora-de-linux-utiliza-modulos-pam-para-robar-credenciales-ssh-cyberdefensa-mx\/","title":{"rendered":"La nueva puerta trasera PamDOORa de Linux utiliza m\u00f3dulos PAM para robar credenciales SSH \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Investigadores de ciberseguridad han revelado detalles de una nueva puerta trasera de Linux llamada PamDOORa<\/strong> eso est\u00e1 siendo anunciado en el foro ruso sobre cibercrimen Rehub por 1.600 d\u00f3lares por un actor de amenazas llamado \u00abdarkworm\u00bb.<\/p>\n

La puerta trasera est\u00e1 dise\u00f1ada como un m\u00f3dulo de autenticaci\u00f3n conectable (PAM<\/a>) basado en un kit de herramientas post-explotaci\u00f3n que permite el acceso SSH persistente mediante una contrase\u00f1a m\u00e1gica y una combinaci\u00f3n de puerto TCP espec\u00edfico. Tambi\u00e9n es capaz de recopilar credenciales de todos los usuarios leg\u00edtimos que se autentican a trav\u00e9s del sistema comprometido.<\/p>\n

\u00abLa herramienta, llamada PamDOORa, es una nueva puerta trasera basada en PAM, dise\u00f1ada para servir como puerta trasera post-explotaci\u00f3n, permitiendo la autenticaci\u00f3n en servidores a trav\u00e9s de OpenSSH\u00bb, dijo Assaf Morag, investigador de Flare.io. dicho<\/a> en un informe t\u00e9cnico. \u00abSupuestamente esto permanecer\u00eda persistente en los sistemas Linux (x86_64)\u00bb.<\/p>\n

PamDOORa es la segunda puerta trasera de Linux dirigida a la pila PAM despu\u00e9s de Plague. PAM es un marco de seguridad en los sistemas operativos Unix\/Linux que otorga a los administradores de sistemas la capacidad de incorporar m\u00faltiples mecanismos de autenticaci\u00f3n o actualizarlos (por ejemplo, cambiar de contrase\u00f1as a datos biom\u00e9tricos) en un sistema existente mediante el uso de m\u00f3dulos conectables sin la necesidad de reescribir las aplicaciones existentes.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Debido a que los m\u00f3dulos PAM normalmente se ejecutan con privilegios de root<\/a>un m\u00f3dulo comprometido, mal configurado o malicioso puede introducir importantes riesgos de seguridad y abrir la puerta a la recolecci\u00f3n de credenciales y al acceso no autorizado.<\/p>\n

\u00abA pesar de sus puntos fuertes, la modularidad del m\u00f3dulo de autenticaci\u00f3n conectable (PAM) introduce riesgos, ya que las modificaciones maliciosas en los m\u00f3dulos PAM pueden crear puertas traseras o robar credenciales de usuario, especialmente porque PAM no almacena contrase\u00f1as sino que transmite valores en texto plano\u00bb, Group-IB anotado<\/a> en septiembre de 2024.<\/p>\n

\u00abLos atacantes pueden explotar el m\u00f3dulo pam_exec, que permite la ejecuci\u00f3n de comandos externos, para obtener acceso no autorizado o establecer un control persistente mediante la inyecci\u00f3n de scripts maliciosos en los archivos de configuraci\u00f3n de PAM\u00bb.<\/p>\n

\"\"<\/a><\/div>\n

El proveedor de seguridad de Singapur tambi\u00e9n detall\u00f3 c\u00f3mo es posible manipular la configuraci\u00f3n PAM para la autenticaci\u00f3n SSH para ejecutar un script a trav\u00e9s de pam_exec, permitiendo efectivamente que un mal actor obtenga un shell privilegiado en un host y facilite la persistencia sigilosa.<\/p>\n

Los \u00faltimos hallazgos de Flare.io muestran que PamDOORa, adem\u00e1s de permitir el robo de credenciales, incorpora capacidades antiforenses para alterar met\u00f3dicamente los registros de autenticaci\u00f3n para borrar rastros de actividad maliciosa.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Aunque no hay evidencia de que el malware se haya utilizado en ataques del mundo real, es probable que las cadenas de infecci\u00f3n que distribuyen el malware impliquen que el adversario primero obtenga acceso ra\u00edz al host a trav\u00e9s de otros medios e implemente el m\u00f3dulo PamDOORa PAM para capturar credenciales y establecer acceso persistente a trav\u00e9s de SSH.<\/p>\n

Despu\u00e9s de un precio de venta inicial de 1.600 d\u00f3lares el 17 de marzo de 2026, el personaje del \u00abgusano oscuro\u00bb lo ha reducido desde entonces en casi un 50 % a 900 d\u00f3lares el 9 de abril, lo que indica una falta de inter\u00e9s del comprador o una intenci\u00f3n de acelerar la venta.<\/p>\n

\"\"<\/a><\/div>\n

\u00abPamDOORa representa una evoluci\u00f3n con respecto a las puertas traseras PAM de c\u00f3digo abierto existentes\u00bb, explic\u00f3 Morag. \u00abSi bien las t\u00e9cnicas individuales (enganches PAM, captura de credenciales, manipulaci\u00f3n de registros) est\u00e1n bien documentadas, la integraci\u00f3n en un implante modular cohesivo con antidepuraci\u00f3n, activadores conscientes de la red y una canalizaci\u00f3n de construcci\u00f3n lo coloca m\u00e1s cerca de las herramientas de nivel de operador que los crudos scripts de prueba de concepto que se encuentran en la mayor\u00eda de los repositorios p\u00fablicos\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Investigadores de ciberseguridad han revelado detalles de una nueva puerta trasera de Linux llamada PamDOORa eso est\u00e1 siendo anunciado en el foro ruso sobre cibercrimen Rehub por 1.600 d\u00f3lares por un actor de amenazas llamado \u00abdarkworm\u00bb. La puerta trasera est\u00e1 dise\u00f1ada como un m\u00f3dulo de autenticaci\u00f3n conectable (PAM) basado en un kit de herramientas post-explotaci\u00f3n […]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[469,24,15,2232,312,2370,2369,36,32,703,2371,33,216],"class_list":["post-805","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-credenciales","tag-cyberdefensa-mx","tag-linux","tag-modulos","tag-nueva","tag-pam","tag-pamdoora","tag-para","tag-puerta","tag-robar","tag-ssh","tag-trasera","tag-utiliza"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/805","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=805"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/805\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=805"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=805"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=805"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}