In de verzameling malware, exploits en andere programma's die van de Amerikaanse inlichtingendienst NSA afkomstig zijn en onlangs op internet verschenen maakt een Unix-backdoor een belangrijk onderdeel uit. Dat zeggen onderzoekers van het Amerikaanse beveiligingsbedrijf Vectra.

Een persoon of groep die zichzelf Shadow Brokers noemt publiceerde halverwege augustus de tools van een spionagegroep genaamd Equation Group. Uit documenten van klokkenluider Edward Snowden blijkt dat het hier om malware en tools van de NSA gaat. Er werden verschillende exploits in de datadump aangetroffen, waaronder één voor een onbekende kwetsbaarheid in de netwerkapparatuur van Cisco. De ontdekking genereerde veel aandacht in de media.

Eén van de tools die ook in de verzameling werd gevonden maar nauwelijks aandacht kreeg is een Unix-backdoor genaamd NOPEN. "NOPEN wordt meerdere keren in de documentatie genoemd en lijkt de hoeksteen van hun infrastructuur. Het is zowel belangrijk als een backdoor in een aangevallen netwerk als een tool die voor een meerlaags terugbelnetwerk kan worden gebruikt", aldus onderzoeker Nick Beauchesne.

Eenmaal actief op een systeem maakt NOPEN het voor de NSA mogelijk om via een versleutelde tunnel met het systeem te communiceren, net als andere remote administration tools (rats) mogelijk maken. NOPEN beschikt echter ook over rootkit-eigenschappen, de mogelijkheid om rechten te verhogen en andere zaken. Toch is het mogelijk om de backdoor op te sporen. Het gedrag en uiteindelijke doel zijn namelijk nog steeds hetzelfde als die bij andere rats, zo stelt de onderzoeker.