🧬 Plague - стелс PAM-бэкдор для Linux.

Исследователи Nextron раскрыли продвинутый бэкдор Plague, внедряющийся в PAM-цепочку Linux и дающий невидимый SSH-доступ без логов, без истории команд, с жёстко заданными паролями.

📌 Особенности:
- маскируется под pam_unix.so, pam_loginuid.so;
- сбрасывает SSH_CLIENT, HISTFILE, очищает следы;
- полностью переживает обновления системы;
- нулевой детект на VirusTotal годами.

🧪 Методы обнаружения:

grep pam_ /etc/pam.d/sshd
find /lib* /usr/lib* -name "pam_*.so" -exec sha256sum {} \;
strings /lib*/security/pam_*.so | grep -Ei "unsetenv|HISTFILE|gcc"

🚩 IoC (SHA256)

3fa1a707be16fd1d64d063215f169a063a6478f41e3e7bfa7d1f5569e7723ce5

c3600c376c5c3573d7a6460cd8cb871e24a4ed3f63e503296c02b447fd87711d

d2f82e8c9fc44a9f48e0bde7603c69ea2a4006c8f6a168d8edc5c7d1578d39e3

📍 Проверь /etc/pam.d/sshd на подключение посторонних .so
📍 Отслеживай входы без логов, пустую историю, неизвестные PAM-модули.

⚠️ Уязвимы те, кто уже был скомпрометирован. Это APT-инструмент, а не эксплойт в ядре.

🔗 Подробности: nextron-systems.com

#Linux #Security #APT #Plague #Backdoor #PAM #Securixy

✅ check_plague.sh (универсальный чек)

#!/bin/bash

echo "🔍 Проверка на PAM-бэкдор Plague..."

# IoC по хешам
ioc_hashes=(
  "3fa1a707be16fd1d64d063215f169a063a6478f41e3e7bfa7d1f5569e7723ce5"
  "c3600c376c5c3573d7a6460cd8cb871e24a4ed3f63e503296c02b447fd87711d"
  "d2f82e8c9fc44a9f48e0bde7603c69ea2a4006c8f6a168d8edc5c7d1578d39e3"
)

# Временные файлы
tmp_hashes=$(mktemp)
tmp_strings=$(mktemp)

# 1. Поиск pam_*.so и хеш-сравнение
find /lib* /usr/lib* -name "pam_*.so" -exec sha256sum {} \; > "$tmp_hashes"

found_ioc_hash=""
for h in "${ioc_hashes[@]}"; do
  if grep -q "$h" "$tmp_hashes"; then
    found_ioc_hash=$h
    break
  fi
done

# 2. Проверка /etc/pam.d/sshd на кастомные модули
pam_line=$(grep -E 'pam_.*\.so' /etc/pam.d/sshd | grep -vE 'pam_(unix|env|nologin|motd|limits|permit).so')

# 3. Поиск строк в pam_*.so
strings /lib*/security/pam_*.so 2>/dev/null | grep -Ei 'unsetenv|HISTFILE|gcc' > "$tmp_strings"

# 4. Вывод результата
echo

if [[ -n "$found_ioc_hash" ]]; then
  echo "⚠️ Обнаружен вредоносный PAM-модуль (IoC: $found_ioc_hash)"
elif [[ -n "$pam_line" ]]; then
  echo "⚠️ Внимание: в /etc/pam.d/sshd найден нестандартный модуль:"
  echo "$pam_line"
elif [[ -s "$tmp_strings" ]]; then
  echo "⚠️ Подозрительные строки внутри PAM-модулей:"
  cat "$tmp_strings"
else
  echo "✅ Plague: не обнаружен"
fi

# Очистка
rm -f "$tmp_hashes" "$tmp_strings"