Backdoor SSH per ottenere password in chiaro

TLDR: è possibile eseguire il backdoor del servizio SSH modificando il file common-auth per eseguire la registrazione e scrivere le credenziali in un file ogni volta che una vittima ignara si autentica nel server con SSH.

Dimostrazione video e procedura dettagliata:
https://youtu.be/of6VSqnHDho

Il file "/etc/pam.d/common-auth" è solitamente incluso da altri file di configurazione PAM per diverse applicazioni, come login, su, sudo, sshd, ecc. Quando un'applicazione deve autenticare un utente, utilizzerà PAM per controllare le credenziali dell'utente rispetto alle regole definite nel file "/etc/pam.d/common-auth", insieme ad altri file di configurazione PAM specifici dell'applicazione.

Il file "/etc/pam.d/common-auth" contiene in genere un elenco di moduli PAM utilizzati per l'autenticazione dell'utente. Questi moduli possono includere "pam_unix.so" per l'autenticazione della password, "pam_ldap.so" per l'autenticazione basata su LDAP, "pam_winbind.so" per l'autenticazione di Active Directory o altri moduli personalizzati che possono essere specifici del sistema o dell'applicazione.

Le regole nel file "/etc/pam.d/common-auth" possono essere personalizzate per applicare diversi criteri di autenticazione, come i requisiti di complessità della password, la scadenza della password, il blocco dell'account, l'autenticazione a due fattori e altro ancora.

È possibile includere la libreria pam_exec.so nel file common-auth per attivare l'esecuzione di uno script bash ogni volta che si verifica un'autenticazione riuscita tramite SSH.

Prendi ad esempio la seguente riga aggiuntiva nel file common-auth:
auth optional pam_exec.so quiet expose_authtok /malicious.sh

Il malware.sh verrà eseguito ogni volta che si verifica un'autenticazione. Lo script può essere utilizzato per eseguire la registrazione per leggere lo 'stdin' inserito dall'utente, che sarà la password. Ciò è reso possibile dall'argomento 'expose_authtok'.

Si noti che la modifica dei file di configurazione PAM senza una buona comprensione delle potenziali implicazioni sulla sicurezza può compromettere la sicurezza del sistema. Si consiglia di testare eventuali modifiche in un ambiente di sviluppo o di staging prima di distribuirle alla produzione.

Si consiglia di seguire il video dimostrativo all'inizio dell'articolo.