PAMDOORA: Neue Linux-Backdoor versteckt sich direkt im PAM-System
Unsichtbar im Login-Prozess: PAMDOORA manipuliert die Linux-Authentifizierung, stiehlt SSH-Credentials und sichert Angreifern dauerhaften Root-Zugriff.
Was ist PAMDOORA – kurz erklärt?
PAMDOORA ist eine neue Linux-Backdoor, die sich tief in das PAM-System (Pluggable Authentication Modules) einnistet. Sie tarnt sich als legitimes pam_*.so-Modul, stiehlt SSH-Credentials, akzeptiert beliebige Passwörter und sichert Angreifern dauerhaften Root-Zugriff – selbst nach Passwort- und Key-Wechsel. Klassische AV- und Prozess-Scanner sehen davon meist gar nichts.
Unsichtbar im Login-Prozess
Eine neue Linux-Backdoor namens PAMDOORA sorgt aktuell in der Cybersecurity-Szene für Alarmstimmung. Sicherheitsforscher entdeckten Schadcode, der sich tief in das PAM-System (Pluggable Authentication Modules) von Linux einnistet – also genau dort, wo Benutzeranmeldungen, SSH-Logins und Passwortprüfungen verarbeitet werden.
Das Perfide daran: Die Malware versteckt sich nicht als auffälliger Prozess oder klassischer Trojaner, sondern manipuliert direkt die Authentifizierungslogik des Systems. Dadurch können Angreifer dauerhaft Zugriff behalten, ohne sofort entdeckt zu werden. Gerade für Unternehmen mit Linux-Servern, Webhosting, Docker-Umgebungen oder VPN-Gateways ist das ein massives Risiko.
Was ist PAM überhaupt?
Das PAM-System ist eine zentrale Linux-Komponente zur Benutzeranmeldung. Greift Malware dieses System an, sitzt sie praktisch direkt am Eingangstor des Servers – noch vor jeder Sicherheitskontrolle der eigentlichen Anwendung.
Passwortprüfung
PAM entscheidet, ob ein Login-Passwort akzeptiert wird.
SSH-Zugriffe
Welche Nutzer und Methoden remote zugelassen werden.
Auth-Methoden
MFA, Smartcards, Kerberos, LDAP – alles läuft über PAM.
Userzugriff
Wer welche Dienste, sudo-Rechte oder Sessions öffnen darf.
Wie funktioniert PAMDOORA?
Die Malware ersetzt oder manipuliert PAM-Module auf kompromittierten Systemen. Laut Analysen von The Hacker News nutzt PAMDOORA dabei die offizielle PAM-Schnittstelle, um Authentifizierungsabläufe abzufangen, Eingaben mitzulesen und parallel einen versteckten Zweit-Login bereitzustellen. Selbst wenn Administratoren Passwörter ändern oder SSH-Keys tauschen, kann der Zugriff bestehen bleiben.
Universal-Passwort
Jedes beliebige Passwort wird vom Modul akzeptiert.
SSH-Bypass
Versteckte Logins ohne gültige Keys oder Credentials.
Root-Persistenz
Dauerhafter Zugriff selbst nach Passwort- und Key-Reset.
Credential-Diebstahl
Eingegebene Passwörter werden im Login-Pfad mitgeloggt.
Auth-Bypass
MFA-, Kerberos- und LDAP-Prüfungen werden umgangen.
Tarnung
Modul wirkt wie ein legitimes pam_*.so – keine Auffälligkeit.
Warum das besonders gefährlich ist
Viele klassische Security-Tools suchen nach verdächtigen Prozessen, auffälligen Netzwerkverbindungen oder bekannten Malware-Dateien. PAMDOORA arbeitet jedoch direkt innerhalb legitimer Linux-Komponenten. Dadurch wirkt das System völlig normal – Logs sehen sauber aus, Prozesse fallen nicht auf, Netzwerkscanner finden nichts.
Für klassische Endpoint-Tools ohne tiefe Linux-Telemetrie ist die Erkennung extrem schwierig. Das macht PAMDOORA zu einem Paradebeispiel für die neue Generation tarnender Linux-Malware.
Betroffene Systeme
Nach bisherigen Erkenntnissen sind vor allem folgende Systeme gefährdet – besonders kritisch wird es bei schlecht überwachten Root-Servern oder älteren Systemen ohne File-Integrity-Monitoring:
Linux-Webserver
Apache, Nginx, Caddy auf öffentlich erreichbaren Hosts.
Ubuntu / Debian
Verbreitetster Stack im Hosting und KMU-Bereich.
RHEL / CentOS / AlmaLinux
Enterprise-Server, oft schlecht überwacht.
Cloud-VMs
AWS, Azure, GCP, Hetzner – jede SSH-erreichbare Instanz.
Docker-Hosts
Container-Hosts mit aktivem PAM für Host-Logins.
VPN- & SSH-Gateways
Bastion-Hosts und Remote-Access-Knoten als Goldgrube.
Typische Hinweise auf eine Kompromittierung
Administratoren sollten zentrale Pfade prüfen: /etc/pam.d/, /lib/security/, /lib/x86_64-linux-gnu/security/ und /usr/lib/security/. Genau hier liegen die pam_*.so-Module wie pam_unix.so, pam_succeed_if.so, pam_systemd.so oder pam_securetty.so, in die sich PAMDOORA einklinkt.
- Veränderte Dateien in
/lib/security/,/lib/x86_64-linux-gnu/security/oder/usr/lib/security/ - Unbekannte oder neu hinzugefügte
pam_*.so-Module - Hashwerte kritischer Auth-Dateien stimmen nicht mehr mit dem Distribution-Soll überein
- Erfolgreiche SSH-Logins zu ungewöhnlichen Zeiten oder von unerwarteten IPs
- Unbekannte Benutzer, neue sudo-Einträge oder Prozesse mit Root-Rechten
- Manipulierte Konfigurationen in
/etc/pam.d/(z. B.sshd,common-auth,system-auth)
Sofortmaßnahmen für Administratoren
Bei Verdacht auf PAMDOORA: alle Befehle als root ausführen, vorher Snapshot und forensisches Image ziehen.
Schritt 1 · PAM-Dateien gegen Distribution prüfen
RHEL/AlmaLinux: `rpm -Va` zeigt Abweichungen aller installierten Pakete. Debian/Ubuntu: `debsums -s` meldet veränderte Dateien.
# RHEL / AlmaLinux / CentOS
rpm -Va | grep -E '/(lib|usr/lib)/security|/etc/pam.d'
# Debian / Ubuntu
apt-get install -y debsums
debsums -s | grep -E '/(lib|usr/lib)/security|/etc/pam.d'Schritt 2 · Verdächtige PAM-Module auflisten
Alle PAM-Module mit Größe und Datum vergleichen – ungewöhnliche Module fallen sofort auf.
ls -lat /lib/x86_64-linux-gnu/security/pam_*.so 2>/dev/null
ls -lat /lib/security/pam_*.so 2>/dev/null
ls -lat /usr/lib64/security/pam_*.so 2>/dev/null
sha256sum /lib/x86_64-linux-gnu/security/pam_*.so 2>/dev/null | sortSchritt 3 · File Integrity Monitoring aufsetzen
AIDE-Datenbank initialisieren und tägliche Abweichungs-Checks aktivieren.
apt-get install -y aide || dnf install -y aide
aideinit
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
aide --checkSchritt 4 · SSH absichern
Passwort-Login deaktivieren, Root-Login verbieten, nur Keys & MFA zulassen.
sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sed -i 's/^#\?PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
sed -i 's/^#\?ChallengeResponseAuthentication.*/ChallengeResponseAuthentication no/' /etc/ssh/sshd_config
systemctl restart sshdSchritt 5 · Persistence-Mechanismen prüfen
Cronjobs, systemd-Units und Init-Skripte auf unbekannte Einträge kontrollieren.
systemctl list-unit-files --state=enabled
crontab -l ; ls -la /etc/cron.* /var/spool/cron/
cat /etc/rc.local 2>/dev/nullFile Integrity Monitoring & EDR/XDR für Linux
Viele Unternehmen schützen Windows-Systeme massiv – Linux-Server laufen dagegen oft praktisch unbeobachtet. Genau diese Lücke nutzen moderne Angreifer wie hinter PAMDOORA gezielt aus. Empfohlene Tools:
AIDE
Klassisches FIM, leichtgewichtig, gut für Standalone-Server.
Wazuh
Open-Source-XDR mit FIM, Rootcheck und SIEM-Integration.
OSSEC
HIDS-Veteran für FIM, Log-Korrelation und Active Response.
CrowdStrike Falcon
Enterprise-EDR mit Linux-Sensor und Verhaltensanalyse.
MS Defender for Endpoint Linux
Microsoft-EDR für Server – integriert mit Windows-Stack.
Elastic Security
EDR + SIEM auf Elastic-Stack, gute Linux-Telemetrie.
Warum Linux inzwischen massiv im Fokus steht
Cyberkriminelle greifen heute nicht mehr nur Windows an. Linux ist inzwischen eines der wichtigsten Ziele überhaupt – wer hier kompromittiert wird, verliert oft direkt die komplette Infrastruktur:
Ähnliche Linux-Angriffe behandelt die QLNX-Kampagne gegen Entwickler und der DirtyFrag Kernel-Exploit. Wer einen Server bereits kompromittiert sieht, sollte unsere Notfall-Anleitung „Server gehackt" durchlaufen.
Wasacon Einschätzung
PAMDOORA zeigt erneut, wie professionell moderne Linux-Malware geworden ist. Statt lautem Schadcode setzen Angreifer auf tiefe Systemintegration und maximale Tarnung. Wer Linux produktiv betreibt, sollte PAM-Dateien regelmäßig prüfen, Integritätsüberwachung aktivieren und Linux-Systeme endlich genauso ernst absichern wie Windows-Clients.
Ein kompromittiertes PAM-Modul bedeutet im schlimmsten Fall: Der Angreifer sitzt bereits dauerhaft im System – und niemand merkt es.
Linux-Härtung & EDR/XDR gegen PAMDOORA & Co.
Wir prüfen Ihre Linux-Server, Container-Hosts und VPN/SSH-Gateways auf manipulierte PAM-Module, setzen FIM auf und überwachen Ihre Systeme rund um die Uhr – vendor-neutral und tief in Linux integriert.
Häufige Fragen (FAQ)
Linux-Sicherheit im Kreis Heinsberg
PAM-Backdoors wie PAMDOORA treffen Hosting-Anbieter, Industriebetriebe und Mittelstand jeder Größe – ob in Heinsberg (52525), Erkelenz (41812), Wegberg, Wassenberg oder Hückelhoven (41836). Auch IT-Teams in Aachen, Mönchengladbach (41061), Geilenkirchen (52511), Jülich, Düren und Krefeld sollten ihre Linux-, Proxmox- und Container-Hosts dringend prüfen.
Wasacon unterstützt mit EDR/XDR auf Linux, File Integrity Monitoring, SSH-Härtung und 24/7-Überwachung gegen aktuelle PAM- und Backdoor-Bedrohungen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
