در حوزه امنیت سایبری، درگاه پشتی (Backdoor) به معنای یک روش مخفی برای دور زدن مکانیزم‌های معمول احراز هویت (Authentication) یا کنترل‌های امنیتی جهت دسترسی به یک سیستم، شبکه یا اپلیکیشن است. مهاجمان با استفاده از این روش، بدون نیاز به نام کاربری و رمز عبور معتبر، وارد سیستم شده و اغلب هیچ ردپای مشخصی از نفوذ اولیه باقی نمی‌گذارند.
تفاوت دسترسی از راه دور مجاز و درگاه پشتی
تفاوت اصلی در میزان آگاهی و قابلیت حسابرسی (Audit) است. ابزارهایی مانند SSH، VPN و RDP زمانی که توسط مالک سیستم پیکربندی و مانیتور شوند، ابزارهای مجاز هستند. اما اگر مهاجم آن‌ها را به صورت مخفی نصب کند یا فروشنده یک حساب کاربری نگهداری (Maintenance Account) بدون مستندات در محصول خود باقی بگذارد، این ابزارها به یک درگاه پشتی تبدیل می‌شوند. سه سوال کلیدی برای تشخیص این موضوع وجود دارد: آیا مالک از وجود آن خبر دارد؟ آیا نیاز به اعتبارنامه (Credentials) دارد؟ و آیا استفاده از آن در لاگ‌ها قابل ردیابی است؟
چرا مهاجمان از درگاه پشتی استفاده می‌کنند؟
هدف اصلی، ایجاد پایداری (Persistence) است. در حالی که اولین اکسپلویت (Exploit) مورد استفاده برای ورود ممکن است ظرف چند روز توسط تیم‌های امنیتی وصله (Patch) شود، یک درگاه پشتی به مهاجم اجازه می‌دهد تا حتی پس از تغییر رمز عبور یا ریبوت شدن سیستم، دوباره و به صورت مخفیانه بازگردد. این پایداری از سرقت داده‌ها، حرکت عرضی (Lateral Movement) در شبکه و استقرار باج‌افزارها پشتیبانی می‌کند.
انواع درگاه‌های پشتی
- درگاه‌های نرم‌افزاری (Software Backdoors): کدهای مخفی در اپلیکیشن‌ها یا کتابخانه‌ها. نمونه بارز آن XZ Utils (CVE-2024-3094) است که در یک کتابخانه فشرده‌سازی لینوکس قرار داشت و امتیاز شدت ۱۰.۰ را دریافت کرد.
- درگاه‌های سخت‌افزاری و فریم‌ور (Hardware/Firmware): دسترسی‌های جاسازی شده در تراشه‌ها یا بوت‌لودرها که حتی با نصب مجدد سیستم‌عامل نیز از بین نمی‌روند (مانند LoJax).
- درگاه‌های ساخته شده توسط فروشنده (Vendor-built): حساب‌های کاربری یا قابلیت‌های دسترسی که توسعه‌دهندگان برای پشتیبانی یا تست در محصول باقی می‌گذارند.
- تروجان‌ها و RATها: بدافزارهایی که خود را به عنوان نرم‌افزار مجاز نشان می‌دهند تا دسترسی از راه دور (Remote Access Trojan) ایجاد کنند.
- وب‌شل‌ها (Web Shells): اسکریپت‌های کوچکی (معمولاً PHP) که در سرورهای وب آپلود شده و اجازه اجرای دستورات را به مهاجم می‌دهند.
- درگاه‌های رمزنگاری (Cryptographic): ضعف‌های عمدی در الگوریتم‌های رمزنگاری که اجازه رمزگشایی داده‌ها را به افراد خاص می‌دهد.
- درگاه‌های مدل‌های هوش مصنوعی (AI/ML): رفتارهای مخفی که در طول فرآیند آموزش (Training) در مدل جاسازی می‌شوند تا در مواجهه با یک محرک (Trigger) خاص، خروجی‌های مخرب تولید کنند.
مقایسه مفاهیم کلیدی
بسیاری از اصطلاحات با هم اشتباه گرفته می‌شوند، اما تفاوت‌های ساختاری دارند:
- Backdoor: بر اساس عملکرد (ایجاد دسترسی مخفی) تعریف می‌شود.
- Trojan: بر اساس روش تحویل (استفاده از پوشش نرم‌افزار مجاز) تعریف می‌شود.
- Rootkit: بر اساس هدف (مخفی کردن فعالیت‌های مخرب از سیستم‌عامل) تعریف می‌شود.
- Trapdoor: درگاهی است که طراح سیستم به صورت عمدی برای تست یا عیب‌یابی ایجاد کرده است.
بررسی نمونه‌های موردی (Case Studies)
۱. حمله XZ Utils: یک عامل تهدید با نام مستعار “Jia Tan” با فعالیت مداوم در پروژه، اعتماد جامعه متن‌باز را جلب کرد و سپس کد مخرب را در کتابخانه تزریق کرد تا دسترسی SSH را مختل کند.
۲. بات‌نت Mirai: این حمله نشان داد که درگاه پشتی لزوماً کد مخفی نیست؛ استفاده از نام کاربری و رمز عبور پیش‌فرض (Default Credentials) در دستگاه‌های IoT، عملاً یک درگاه پشتی باز برای مهاجمان است.
۳. حملات به تجهیزات شبکه: کمپین‌هایی مانند AyySSHush نشان دادند که مهاجمان با اکسپلویت کردن آسیب‌پذیری‌ها، کلیدهای SSH خود را در روترهای ASUS و تجهیزات Cisco تزریق می‌کنند تا دسترسی خود را حتی پس از آپدیت فریم‌ور حفظ کنند.
۴. گروه Velvet Ant: این گروه با تمرکز بر تجهیزات شبکه (مانند F5 BIG-IP)، از آسیب‌پذیری‌های زیرو دِی (Zero-day) برای نصب بدافزارهای سفارشی و حفظ دسترسی طولانی‌مدت استفاده می‌کند.
