Linux PAM 成黑客持久化温床，多个后门样本零检测

cyb3rops · x · 2026-07-30

安全研究机构指出，Linux PAM（可插拔认证模块）仍是系统中最高价值的持久化攻击点之一，且普遍缺乏足够的安全监控。

研究人员近期分析了一批恶意 PAM 后门和凭证窃取程序。分析发现，所有恶意样本在初次上传至 VirusTotal 时，检测结果均为零。PAM 之所以成为理想的藏身之处，是因为单个恶意模块就能透明地拦截系统凭证、绕过身份验证、建立持久化、实现账户接管，甚至与 C2 服务器通信，同时保持系统正常认证栈的运转。