Backdoor (puerta trasera)

Un backdoor, o puerta trasera, es un método de acceso encubierto a un sistema o a un programa que permite entrar saltándose los mecanismos normales de autenticación y de seguridad. Puede ser intencionado, si alguien lo dejó ahí a propósito, o el resultado de una vulnerabilidad en el diseño, en el código o en el mantenimiento.

Su función es siempre la misma: dar acceso no autorizado, y con él la posibilidad de robar datos, instalar malware o cambiar la configuración de un equipo. Lo que lo hace caro de encontrar es que está hecho para no llamar la atención: vive dentro del código o de la configuración de algo que ya estaba ahí, y por eso el acceso que concede suele durar meses y no días.

Lo que lo delata casi nunca es un antivirus. Es alguien comparando lo que hay contra lo que debería haber.

Hay tres orígenes y conviene separarlos, porque la respuesta a cada uno es distinta. Un atacante que ya tiene acceso instala uno para que perder una credencial robada no le cueste el parque entero: un web shell, un módulo de autenticación añadido, un servicio, una clave de más en una lista de autorizadas o una cuenta que nadie va a cuestionar. Un proveedor entrega uno, bien a propósito como mecanismo de soporte no documentado, bien sin saberlo porque una dependencia o su cadena de compilación se comprometió aguas arriba. O se crea por accidente, con la forma de una interfaz de depuración o de una cuenta de soporte que nunca debió llegar a producción.

La frontera con la persistencia merece precisión, porque las dos entradas llevan años confundiéndose. La persistencia es la propiedad de sobrevivir a un reinicio y a una limpieza. Un backdoor es un bypass de autenticación. Casi todos los backdoors están hechos para persistir y casi todos los mecanismos de persistencia dan un bypass, pero son dos afirmaciones distintas y un informe no debería usar la misma palabra para las dos.

La respuesta a incidentes retira el malware y deja el bypass. Se cierra una intrusión, se reconstruye la máquina afectada, y ahí siguen la clave añadida, la cuenta de más, la regla de reenvío de correo o el certificado que el atacante emitió a su nombre, así que el intruso vuelve por un mecanismo que nunca tuvo aspecto de malware.

El caso de la cadena de suministro es el que más ha cambiado, y es cualitativamente distinto: el código está firmado, llega por el mecanismo de actualización en el que la organización confía y está presente en todos los sistemas que lo instalaron. Ningún control de endpoint busca de verdad comportamiento hostil dentro de un componente firmado de forma legítima, y por eso un ataque a la cadena de suministro vale tanto para un operador y por eso la procedencia y el SBOM se convirtieron en requisitos de compra.

En un ejercicio de red team instalamos los nuestros, con el acuerdo del cliente y con registro escrito de cada uno, y devolvemos la lista completa al terminar. El hallazgo no es que pudiéramos instalarlo, que es lo esperable en cuanto tenemos privilegio; el hallazgo es si se detectó, y si la erradicación posterior lo quitó de verdad. Las cuentas de soporte del fabricante, las interfaces de gestión no documentadas y las rutas de depuración olvidadas se enumeran aparte, porque son las que nadie plantó y las que nadie reconoce como suyas.