Una backdoor Linux è malware o un metodo di accesso nascosto che consente a un attaccante di mantenere il controllo di un sistema Linux dopo il compromesso iniziale. Può aprire una shell remota segreta, accettare comandi da un server di comando e controllo oppure creare un percorso di accesso segreto che aggira l'autenticazione normale. Poiché Linux esegue molti server, dispositivi di rete, container e dispositivi IoT, una backdoor può offrire ai criminali un accesso duraturo a infrastrutture preziose.
Nelle attacchi reali, le backdoor Linux vengono usate per mantenere la persistenza, muoversi lateralmente, sottrarre dati e, a volte, trasformare i dispositivi compromessi in proxy o punti di inoltro. Sono particolarmente pericolose sui sistemi esposti a Internet con patching debole o monitoraggio limitato. I difensori cercano processi insoliti, connessioni in uscita inattese, file di avvio alterati, account utente sospetti e segni di esecuzione non autorizzata di comandi. Una solida gestione delle patch, l'accesso con privilegi minimi, il monitoraggio dell'integrità dei file e la revisione regolare dei log aiutano a rilevarle ed eliminarle.