SSHDoor

SSHDoor es un troyano/backdoor para Linux cuyo nombre técnico completo es Linux/SSHDoor.A (también conocido como SSHdKit), diseñado para comprometer servidores que ejecutan el protocolo SSH (Secure Shell) . Su función principal es robar credenciales de inicio de sesión (usuarios y contraseñas) y garantizar al atacante un acceso remoto persistente y encubierto, incluso si las contraseñas legítimas cambian. A diferencia de un malware genérico, SSHDoor se implanta directamente en el binario del demonio SSH, camuflándose como el servicio legítimo del sistema.

Funcionamiento Técnico Detallado

SSHDoor opera mediante la sustitución o inyección del binario sshd legítimo en el servidor comprometido . Una vez que el administrador o el sistema inicia el servicio SSH, el demonio troyanizado se ejecuta con la misma apariencia y funcionalidad visible que el original, pero con comportamientos maliciosos ocultos.

1. Robo de credenciales:

Cada vez que un usuario intenta autenticarse exitosamente vía SSH, el backdoor intercepta el nombre de usuario y la contraseña antes de que sean procesados por el sistema de autenticación legítimo . Los datos capturados se cifran usando una clave RSA de 1024 bits incrustada en el binario, se codifican en Base64 y se envían a un servidor remoto mediante peticiones HTTP POST . Las cadenas relacionadas con el comportamiento malicioso están ofuscadas con codificación XOR (utilizando la constante 0x23) para dificultar el análisis estático y la detección por búsqueda de cadenas sospechosas .

2. Persistencia mediante doble mecanismo:

SSHDoor garantiza el acceso del atacante incluso si el administrador legítimo cambia su contraseña. Lo logra de dos formas :

• Contraseña hardcodeada: El binario contiene una contraseña fija incrustada en el código. Cualquier usuario que la introduzca recibe acceso inmediato al sistema, sin importar las credenciales configuradas en el servidor.
• Clave SSH incrustada: El malware también incorpora una clave pública SSH (formato ssh-rsa) cuyo par privado posee el atacante. Al autenticarse con esa clave privada correspondiente, el acceso se concede automáticamente.

3. Recolección de datos del sistema:

Al iniciarse, el backdoor envía al servidor de recolección la IP, el puerto en el que el servicio está escuchando y el nombre del host de la máquina comprometida, permitiendo al atacante mapear su infraestructura de víctimas .

4. Variantes modernas (SSHdKit):

Las versiones más recientes de la familia, detectadas en 2025 y 2026, han evolucionado hacia técnicas más sigilosas. Algunas variantes utilizan inyección de módulos PAM (Pluggable Authentication Modules) mediante archivos .so personalizados en lugar de modificar directamente el binario sshd . Este enfoque evita alterar archivos del sistema como pam_unix.so, lo que le permite pasar verificaciones de herramientas como Lynis, chkrootkit y rkhunter, y no deja rastro en authorized_keys . Otras variantes monitorean en puertos altos como 60001 y abren reverse shells, además de desplegar componentes de rootkit que ocultan su presencia de comandos como ps y netstat .

Impacto y Consecuencias

El impacto de una infección por SSHDoor es crítico para cualquier infraestructura Linux expuesta, especialmente servidores de producción, bases de datos y sistemas de administración remota.

a) Compromiso total del servidor:

El robo de credenciales de SSH otorga al atacante acceso con privilegios de administrador a la máquina comprometida. Desde allí puede ejecutar comandos arbitrarios, instalar más malware, modificar configuraciones, acceder a bases de datos y, en última instancia, controlar completamente el servidor .

b) Persistencia garantizada:

El doble mecanismo de persistencia (contraseña hardcodeada + clave SSH incrustada) significa que cambiar la contraseña del usuario afectado no expulsa al atacante. Incluso una auditoría de seguridad convencional puede no detectar la puerta trasera si solo se revisan las cuentas de usuario y las claves autorizadas .

c) Movimiento lateral y escalada de privilegios:

Las credenciales robadas de un servidor suelen ser reutilizadas para acceder a otros sistemas de la red corporativa, facilitando el movimiento lateral. Si el servidor comprometido tiene acceso a recursos compartidos, bases de datos o sistemas internos, el atacante puede extender su control rápidamente .

d) Dificultad de detección:

SSHDoor se ejecuta como un proceso llamado sshd, con la misma ruta esperada (/usr/sbin/sshd en condiciones normales). Esto hace que herramientas de monitoreo estándar como ps aux | grep sshd no detecten anomalías evidentes . Las variantes que usan inyección PAM o rootkits ocultan aún más su presencia, evadiendo controles de integridad de archivos y auditorías de seguridad comunes .

e) Exfiltración silenciosa y prolongada:

La comunicación con el servidor de recolección se realiza mediante HTTP POST cifrado, lo que permite al atacante recibir credenciales continuamente sin activar alertas de tráfico anómalo, siempre que el firewall corporativo permita salida HTTP . Esto facilita operaciones de espionaje prolongado sin detección.

f) Riesgo reputacional, regulatorio y de cumplimiento:

Un servidor comprometido con acceso SSH persistente puede ser utilizado para alojar y distribuir malware (como se documentó con la asociación a Linux/Chapro.A) , lo que expone a la organización a sanciones regulatorias, pérdida de confianza de clientes y daños legales si el servidor se utiliza para atacar a terceros.

g) Atribución a grupos APT:

En 2026, feeds de amenazas han asociado SSHDoor a APT28 (Charming Kitten), un actor de origen ruso vinculado a operaciones de ciberespionaje contra gobiernos y organizaciones estratégicas . Esto eleva la gravedad del incidente de un simple troyano a una operación de inteligencia patrocinada por un estado, con implicaciones geopolíticas y de seguridad nacional.

Origen y Motivación

SSHDoor tiene su origen en actores de amenazas vinculados al ciberespionaje ruso, específicamente atribuido a APT28 (Charming Kitten) según los feeds de inteligencia más recientes . Fue documentado por primera vez por ESET en enero de 2013, en el contexto de una campaña más amplia que también incluía el módulo malicioso para Apache Linux/Chapro.A . La motivación principal de SSHDoor no es económica ni oportunista, sino estratégica y de inteligencia: su diseño está optimizado para mantener acceso silencioso y prolongado a servidores Linux de alto valor, recolectar credenciales de administradores y usuarios privilegiados, y servir como plataforma de acceso persistente para operaciones de espionaje continuado . El uso de nombres de dominio que imitan servicios legítimos (como openssh.info y linuxrepository.org) demuestra una planificación cuidadosa para evitar sospechas de los administradores y prolongar la vida útil de la infección . La evolución de la familia hacia variantes con inyección PAM y rootkits indica que sus operadores siguen invirtiendo en investigación y desarrollo para mejorar la evasión y adaptarse a entornos defensivos más maduros .