恶意 PAM 模块零检出：改一行代码即绕过 LLM 逆向分析

cyb3rops · x · 2026-11-06

Nextron Research 曝光了一批针对 Linux 认证的恶意 PAM 模块：- 在 VirusTotal 上 0/61 引擎检出（配图为实际报告截图），仅靠社区 YARA 规则（THOR APT Scanner）可标记为疑似后门。- 攻击者只对 pamunix 做一行源码投毒，即可植入硬编码通用后门密码，并通过精心构造 .gnu.versionr 躲避检测。- 研究者还观察到据称在也门使用的定向 root 密码 zZ,s=EB6f#91Lh@[。- 关键点：这类极小改动能绕过基于 LLM 的自动化逆向分析，对 AI 辅助安全审计的可靠性提出直接质疑。