OrBit: cuando un supuesto malware exclusivo termina siendo un rootkit reutilizable

El malware dirigido a Linux está cambiando rápidamente: cada vez más campañas utilizan herramientas reutilizables basadas en código abierto. El rootkit OrBit es un buen ejemplo de esta tendencia.

Cuando se reveló por primera vez en 2022, OrBit se describió como una amenaza sofisticada y aparentemente única para Linux. Sin embargo, análisis posteriores indicaron que en realidad deriva del rootkit Medusa, un proyecto disponible públicamente en GitHub. Esto significa que distintos atacantes pueden copiarlo, modificarlo y desplegar nuevas variantes con relativa facilidad.

Este cambio de perspectiva —de malware “personalizado” a familia reutilizable— tiene implicaciones importantes para quienes defienden infraestructuras Linux en empresas y entornos cloud.

El descubrimiento inicial en 2022

Investigadores de seguridad detectaron OrBit como un malware altamente sigiloso capaz de incrustarse profundamente en sistemas Linux comprometidos. Una vez instalado, manipula bibliotecas compartidas para interceptar llamadas del sistema y alterar el comportamiento de los programas.

Entre sus características principales se observaron:

• Infección de todos los procesos en ejecución del sistema
• Robo de credenciales de sesiones SSH
• Registro de comandos TTY ejecutados por los usuarios
• Acceso remoto a través de SSH
• Técnicas avanzadas de evasión y persistencia

Los investigadores también señalaron que OrBit puede funcionar de dos formas: como implante persistente en el sistema o como carga temporal que permanece solo en memoria.

Cómo infecta internamente un sistema Linux

A diferencia de muchos malware tradicionales que se ejecutan como binarios independientes, OrBit modifica la forma en que los programas cargan bibliotecas compartidas.

En concreto, secuestra el flujo de ejecución para que código malicioso se cargue automáticamente cuando un programa se inicia o cuando se invocan determinadas funciones del sistema.

Este enfoque ofrece varias ventajas para los atacantes:

• El comportamiento malicioso queda oculto dentro de procesos legítimos.
• Las herramientas de seguridad pueden observar únicamente actividad aparentemente normal.
• El rootkit puede interceptar comandos o credenciales sin levantar sospechas.

Los análisis indican que el malware puede enganchar decenas de funciones del sistema, lo que le permite vigilar la actividad del equipo, capturar credenciales y manipular procesos.

Además, como la biblioteca maliciosa se carga en múltiples procesos, el rootkit termina extendiéndose prácticamente por todo el sistema una vez instalado.

El giro clave: de malware exclusivo a fork de código abierto

Los primeros informes trataban a OrBit como una pieza de malware desarrollada de forma exclusiva. Pero investigaciones posteriores revelaron que en realidad es una versión modificada del rootkit Medusa, disponible públicamente.

Este hallazgo cambió la interpretación del riesgo.

En lugar de depender de un único grupo que mantenga su propio malware, OrBit parece formar parte de un ecosistema de rootkits “forkeables”. Cualquier actor con acceso al código puede reutilizarlo, cambiar configuraciones o añadir funciones para lanzar nuevas campañas.

Los analistas han observado múltiples despliegues a lo largo de varios años, lo que sugiere que distintos operadores reutilizan el mismo código base en lugar de desarrollar rootkits desde cero.

Capacidades observadas en campañas con OrBit

Aunque las variantes pueden diferir, varios informes coinciden en un conjunto de capacidades recurrentes.

Robo de credenciales

El rootkit puede capturar credenciales de SSH y sudo, lo que permite a los atacantes escalar privilegios y moverse lateralmente dentro de entornos Linux.

Hooking de procesos en todo el sistema

Al inyectar código en bibliotecas compartidas, OrBit afecta tanto a procesos ya en ejecución como a los que se inician después.

Registro de comandos y recopilación de datos

El malware registra comandos ejecutados por usuarios y puede guardar sus resultados en archivos ocultos dentro del sistema comprometido.

Evasión avanzada

Al ejecutarse dentro de procesos legítimos y manipular funciones del sistema, el rootkit puede evadir muchos mecanismos de detección tradicionales.

Métodos de entrega: lo que se sabe y lo que no

La investigación pública describe con bastante detalle el funcionamiento de OrBit una vez instalado, pero hay menos información sobre cómo llega inicialmente al sistema.

Lo que sí está confirmado:

• El malware necesita privilegios elevados para desplegarse completamente.
• Puede instalarse como implante persistente o temporal en memoria.

Sin embargo, las fuentes disponibles no confirman vectores de infección concretos como phishing, explotación de vulnerabilidades o ataques de fuerza bruta contra SSH.

Indicadores que deberían vigilar los equipos de seguridad

Dado que pueden existir múltiples variantes de OrBit, los defensores deberían centrarse en indicadores de comportamiento, no solo en firmas o hashes específicos.

Actividad sospechosa en el cargador dinámico

El malware secuestra bibliotecas compartidas o modifica la configuración del loader para ejecutar código malicioso automáticamente.

Intercepción de credenciales

Accesos inusuales a procesos de autenticación de SSH o sudo pueden indicar intentos de captura de credenciales.

Inyección de bibliotecas en múltiples procesos

La propagación del rootkit a procesos existentes y nuevos puede revelar patrones anómalos en la carga de librerías.

Archivos ocultos con resultados de comandos

Algunas variantes almacenan datos capturados en rutas temporales como /tmp/.orbit.

Artefactos de rootkits en sistemas Linux

Las colecciones públicas de indicadores de compromiso (IOC) para rootkits Linux pueden ayudar en investigaciones forenses para detectar archivos, rutas o comportamientos sospechosos.

Por qué OrBit es relevante para la seguridad empresarial

La principal lección de OrBit no es solo su capacidad de ocultarse, sino su facilidad de reutilización.

Al derivar de código abierto, los atacantes pueden modificar el rootkit rápidamente y crear nuevas variantes para diferentes campañas. Esto reduce la barrera técnica para comprometer servidores Linux, especialmente en entornos cloud y de infraestructura empresarial donde este sistema operativo es dominante.

Por ello, los equipos de seguridad deberían tratar OrBit no tanto como una sola familia de malware, sino como un patrón de técnicas: secuestro de bibliotecas compartidas, robo de credenciales y persistencia a nivel de proceso.

Detectar esos comportamientos será probablemente la estrategia más fiable para identificar tanto las variantes actuales como las que puedan aparecer en el futuro.