OrBit‑Rootkit: Wie aus vermeintlicher Custom‑Malware ein wiederverwendbares Open‑Source‑Angriffstool wurde

Linux‑Malwarekampagnen setzen zunehmend auf wiederverwendbare Open‑Source‑Werkzeuge. Das OrBit‑Rootkit ist ein gutes Beispiel für diesen Trend. Als es 2022 erstmals öffentlich beschrieben wurde, galt es als neuartige, hochgradig versteckte Linux‑Bedrohung. Spätere Analysen zeigen jedoch, dass OrBit höchstwahrscheinlich eine modifizierte Variante des öffentlich verfügbaren Medusa‑Rootkits ist.

Diese Neubewertung hat wichtige Konsequenzen: Statt eine einzelne Malware‑Familie zu verfolgen, müssen Sicherheitsteams heute damit rechnen, dass verschiedene Angreifer denselben Code forken und anpassen.

Entdeckung 2022: Ein besonders stealthiges Linux‑Rootkit

Sicherheitsforscher identifizierten OrBit erstmals als komplexe Malware, die sich tief in kompromittierten Linux‑Systemen einnistet. Nach der Installation kapert sie Shared Libraries und fängt Systemaufrufe ab, um das Verhalten von Programmen zu manipulieren.

Zu den frühen beobachteten Eigenschaften gehörten:

• Infektion aller laufenden Prozesse auf einem System
• Abgreifen von Anmeldedaten aus SSH‑Sessions
• Protokollierung von TTY‑Befehlen
• Remote‑Zugriff über SSH
• ausgeprägte Tarn‑ und Persistenzmechanismen

Analysen zeigten außerdem, dass OrBit entweder persistent installiert oder als flüchtiger In‑Memory‑Implant betrieben werden kann – je nachdem, wie Angreifer die Malware auf dem Zielsystem platzieren.

Wie OrBit intern Linux‑Systeme kompromittiert

Im Gegensatz zu klassischer Linux‑Malware, die als einzelnes Binary läuft, verändert OrBit den Mechanismus zum Laden von Shared Libraries. Dabei wird der Ausführungsfluss so manipuliert, dass schädlicher Code automatisch geladen wird, sobald Programme starten oder bestimmte Funktionen aufrufen.

Dieser Ansatz bietet mehrere Vorteile für Angreifer:

• Schadcode versteckt sich innerhalb legitimer Prozesse
• Sicherheitslösungen sehen oft nur scheinbar normales Systemverhalten
• Befehle, Eingaben und sensible Daten können abgefangen werden

Forscher stellten fest, dass OrBit Dutzende Systemfunktionen hooken kann. Dadurch lässt sich Aktivität überwachen, Anmeldedaten stehlen oder Prozessverhalten verändern – ohne offensichtliche Spuren im System.

Da die manipulierte Bibliothek systemweit geladen wird, breitet sich das Rootkit nach der Installation praktisch über das gesamte System aus.

Der Wendepunkt: Vom Einzeltool zum Open‑Source‑Fork

In ersten Berichten wurde OrBit als eigenständige Malware beschrieben. Spätere Untersuchungen ergaben jedoch, dass es sich wahrscheinlich um einen modifizierten Klon des Open‑Source‑Rootkits Medusa handelt, dessen Code öffentlich auf GitHub verfügbar ist.

Diese Erkenntnis verändert die Bedrohungsanalyse deutlich.

Statt einer proprietären Malware eines einzelnen Akteurs scheint OrBit Teil eines forkbaren Rootkit‑Ökosystems zu sein. Angreifer können den vorhandenen Code übernehmen, Konfigurationen ändern und neue Varianten für unterschiedliche Kampagnen erstellen.

Analysen mehrerer Jahre zeigen auch verschiedene Einsätze des Rootkits, was darauf hindeutet, dass unterschiedliche Betreiber denselben Code wiederverwenden, statt jedes Mal neue Malware zu entwickeln.

Beobachtete Fähigkeiten in OrBit‑Kampagnen

Über mehrere Forschungsberichte hinweg tauchen bestimmte Funktionen immer wieder auf.

Abgreifen von Zugangsdaten

Das Rootkit kann SSH‑ und sudo‑Credentials erfassen. Dadurch erhalten Angreifer höhere Rechte und können sich lateral innerhalb von Linux‑Infrastrukturen bewegen.

Prozessweite Hooks

Durch die Manipulation von Shared Libraries kann OrBit sowohl bestehende als auch neu gestartete Prozesse auf dem Host beeinflussen.

Command‑Logging und Datensammlung

Die Malware protokolliert ausgeführte Befehle und kann deren Ausgabe in versteckten Dateien auf dem System speichern.

Tarnung und Umgehung von Sicherheitssoftware

Da OrBit innerhalb legitimer Prozesse arbeitet und Systemfunktionen abfängt, bleibt es für viele traditionelle Sicherheitslösungen schwer erkennbar.

Verbreitungswege: Was bekannt ist – und was nicht

Die öffentliche Forschung beschreibt sehr detailliert, wie OrBit nach der Installation funktioniert. Deutlich weniger bekannt ist jedoch, wie Angreifer initial Zugriff erhalten.

Gesichert ist:

• Für eine vollständige Installation sind erhöhte Rechte (root) erforderlich.
• Die Malware kann persistent installiert oder nur temporär im Speicher ausgeführt werden.

Unklar bleibt laut den verfügbaren Quellen, ob konkrete Infektionswege wie Phishing, Exploits oder SSH‑Brute‑Force systematisch genutzt werden. Dafür gibt es bislang keine belastbaren öffentlichen Belege.

Wichtige Indikatoren für Verteidiger

Da verschiedene OrBit‑Forks leicht unterschiedliche Artefakte besitzen können, sollten Sicherheitsteams stärker auf Verhaltensindikatoren achten statt nur auf Dateihashes.

Auffälliges Verhalten des Dynamic Linkers

OrBit manipuliert Shared Libraries oder die Loader‑Konfiguration, damit schädlicher Code automatisch geladen wird.

Anomalien bei SSH‑ oder sudo‑Authentifizierung

Ungewöhnliche Zugriffe auf Authentifizierungsprozesse können auf Versuche hinweisen, Zugangsdaten abzugreifen.

Prozessübergreifende Library‑Injection

Wenn zahlreiche Prozesse unerwartet dieselben Bibliotheken laden oder verändert erscheinen, kann dies auf eine Rootkit‑Infektion hindeuten.

Versteckte Dateien mit Befehlsausgaben

Einige Varianten speichern abgefangene Daten in temporären Dateien wie /tmp/.orbit.

Rootkit‑Artefakte auf Linux‑Hosts

Kurierte IOC‑Sammlungen aus Rootkit‑Analysen können helfen, verdächtige Dateien, Pfade oder Forensik‑Spuren aufzuspüren.

Warum OrBit für Unternehmen relevant ist

Die wichtigste Erkenntnis aus der Analyse von OrBit ist nicht nur seine Tarnfähigkeit – sondern seine Wiederverwendbarkeit.

Da das Rootkit offenbar auf offen zugänglichem Code basiert, können Angreifer es relativ einfach forken, verändern und erneut einsetzen. Das senkt die Einstiegshürde für Kampagnen gegen Linux‑Server, Cloud‑Workloads und andere unternehmenskritische Systeme.

Für Verteidiger bedeutet das: OrBit sollte weniger als einzelne Malware‑Familie betrachtet werden, sondern eher als Angriffsmuster – bestehend aus Shared‑Library‑Hijacking, Credential‑Harvesting und systemweiter Persistenz.

Wer diese Verhaltensmuster überwacht, hat die besten Chancen, sowohl aktuelle als auch zukünftige Varianten des Rootkits zu entdecken.