Сертификат безопасности

🧬 Plague - стелс PAM-бэкдор для Linux.

Исследователи Nextron раскрыли продвинутый бэкдор Plague, внедряющийся в PAM-цепочку Linux и дающий невидимый SSH-доступ без логов, без истории команд, с жёстко заданными паролями.

📌 Особенности:
- маскируется под pam_unix.so, pam_loginuid.so;
- сбрасывает SSH_CLIENT, HISTFILE, очищает следы;
- полностью переживает обновления системы;
- нулевой детект на VirusTotal годами.

🧪 Методы обнаружения:


grep pam_ /etc/pam.d/sshd
find /lib* /usr/lib* -name "pam_*.so" -exec sha256sum {} \;
strings /lib*/security/pam_*.so | grep -Ei "unsetenv|HISTFILE|gcc"

🚩 IoC (SHA256)


3fa1a707be16fd1d64d063215f169a063a6478f41e3e7bfa7d1f5569e7723ce5

c3600c376c5c3573d7a6460cd8cb871e24a4ed3f63e503296c02b447fd87711d

d2f82e8c9fc44a9f48e0bde7603c69ea2a4006c8f6a168d8edc5c7d1578d39e3

📍 Проверь /etc/pam.d/sshd на подключение посторонних .so
📍 Отслеживай входы без логов, пустую историю, неизвестные PAM-модули.

⚠️ Уязвимы те, кто уже был скомпрометирован. Это APT-инструмент, а не эксплойт в ядре.

🔗 Подробности: nextron-systems.com

#Linux #Security #APT #Plague #Backdoor #PAM #Securixy

✅ check_plague.sh (универсальный чек)


#!/bin/bash

echo "🔍 Проверка на PAM-бэкдор Plague..."

# IoC по хешам
ioc_hashes=(
  "3fa1a707be16fd1d64d063215f169a063a6478f41e3e7bfa7d1f5569e7723ce5"
  "c3600c376c5c3573d7a6460cd8cb871e24a4ed3f63e503296c02b447fd87711d"
  "d2f82e8c9fc44a9f48e0bde7603c69ea2a4006c8f6a168d8edc5c7d1578d39e3"
)

# Временные файлы
tmp_hashes=$(mktemp)
tmp_strings=$(mktemp)

# 1. Поиск pam_*.so и хеш-сравнение
find /lib* /usr/lib* -name "pam_*.so" -exec sha256sum {} \; > "$tmp_hashes"

found_ioc_hash=""
for h in "${ioc_hashes[@]}"; do
  if grep -q "$h" "$tmp_hashes"; then
    found_ioc_hash=$h
    break
  fi
done

# 2. Проверка /etc/pam.d/sshd на кастомные модули
pam_line=$(grep -E 'pam_.*\.so' /etc/pam.d/sshd | grep -vE 'pam_(unix|env|nologin|motd|limits|permit).so')

# 3. Поиск строк в pam_*.so
strings /lib*/security/pam_*.so 2>/dev/null | grep -Ei 'unsetenv|HISTFILE|gcc' > "$tmp_strings"

# 4. Вывод результата
echo

if [[ -n "$found_ioc_hash" ]]; then
  echo "⚠️ Обнаружен вредоносный PAM-модуль (IoC: $found_ioc_hash)"
elif [[ -n "$pam_line" ]]; then
  echo "⚠️ Внимание: в /etc/pam.d/sshd найден нестандартный модуль:"
  echo "$pam_line"
elif [[ -s "$tmp_strings" ]]; then
  echo "⚠️ Подозрительные строки внутри PAM-модулей:"
  cat "$tmp_strings"
else
  echo "✅ Plague: не обнаружен"
fi

# Очистка
rm -f "$tmp_hashes" "$tmp_strings"

🔥5❤1

400 views16:42

Сертификат безопасности

Forwarded from BELYAEV_SECURITY

CVE-2026-46331: дыра в Linux-ядре, публичный эксплойт, и почти все серверы уязвимы

Когда в Linux-ядре появляется публичный privilege escalation эксплойт это не «интересный баг». Это «у вас есть 24 часа, после которых ваши серверы не ваши». CVE-2026-46331, «pedit COW» именно такой случай.

Техника: понятно и без PhD
В Linux-ядре есть подсистема traffic control она управляет приоритетами сетевых пакетов. В одной из её функций (tcf_pedit_act) есть баг: она вычисляет диапазон для copy-on-write до того, как определяет реальный runtime-offset заголовка.

Результат: непривилегированный локальный пользователь может загрязнить общий page cache ядра и получить root-доступ то есть полный контроль над системой.

Затронуты Linux-ядра от версии 2.6 до 7.1 включительно. Публичный PoC-эксплойт появился через 24 часа после присвоения CVE 16 июня. Red Hat подтвердил уязвимость в RHEL 8, 9, 10 и OpenShift.

Почему это критично в 2026
Большинство корпоративных серверов, облачных VM и контейнерных хостов работают на Linux. «Локальный» эксплойт звучит безопасно но «локальный» в контексте облака означает: любой скомпрометированный контейнер может вырваться на уровень хоста.

Аналогия
Вы думаете, что заперли арендатора в его квартире. Но в стене его квартиры есть трещина, через которую он может вылезти в подвал, найти там главный щиток и отключить электричество всему дому. «Локальный доступ» не означает «безопасный».

Что делать прямо сейчас
Технические специалисты:
· Немедленно применить патч ядра (commit 899ee91156e57784090c5565e4f31bd7dbffbc5a)
· Временный митигейшн: echo "blacklist act_pedit" > /etc/modprobe.d/blacklist-act-pedit.conf
· Проверить загрузку модуля: lsmod | grep act_pedit
· Приоритет: облачные VM и контейнерные хосты, где запускается ненадёжный код

Бизнесу/CEO: Спросите у DevOps/Infra: «Мы применили патч CVE-2026-46331 на всех Linux-серверах и контейнерных хостах?» Если ответ «работаем над этим» это значит «нет». Установите дедлайн 48 часов.

Мой взгляд

То, что публичный эксплойт появился через 24 часа после CVE это новая норма. Attackers намного быстрее, чем патч-циклы большинства организаций. Если у вас нет процесса экстренного патчинга критических ядерных уязвимостей вы всегда будете на шаг позади. Прогноз: в ближайшие недели CVE-2026-46331 войдёт в инструментарий как минимум нескольких ransomware-операторов для lateral movement в корпоративных средах.

Автор: Беляев Дмитрий

〰️

📝

Связаться с Дмитрием

〰️

👆

✔️

Подпишись на канал

🔥