Rootkit Linux OrBit : de malware discret à menace open source réutilisable

Les campagnes de malware visant Linux s’appuient de plus en plus sur des outils open source réutilisables. Le rootkit OrBit illustre parfaitement cette évolution. Découvert en 2022 comme une menace Linux particulièrement furtive, il avait d’abord été présenté comme un malware « sur mesure ». Des analyses ultérieures ont toutefois montré qu’il dérive en réalité du rootkit Linux Medusa, un projet open source disponible publiquement.

Ce changement de perspective est important : OrBit n’est plus seulement un malware isolé, mais un socle technique que différents attaquants peuvent modifier et redéployer. Pour les équipes de sécurité, cela signifie qu’il faut surveiller des techniques et comportements persistants plutôt que de simples signatures statiques.

Découverte en 2022 : un rootkit Linux extrêmement discret

Les chercheurs en cybersécurité ont identifié OrBit pour la première fois en 2022 comme un malware Linux sophistiqué capable de s’intégrer profondément dans un système compromis. Une fois installé, il détourne les bibliothèques partagées afin d’intercepter les appels système et manipuler le comportement des programmes.

Les premières analyses ont mis en évidence plusieurs caractéristiques clés :

• Infection de tous les processus en cours d’exécution sur la machine
• Vol d’identifiants issus des sessions SSH
• Journalisation des commandes TTY
• Accès distant via SSH
• Techniques avancées de persistance et d’évasion

Les chercheurs ont également observé que le malware pouvait fonctionner soit comme implant persistant, soit comme charge utile volatile en mémoire, selon la méthode d’installation utilisée par l’attaquant.

Comment OrBit s’infiltre dans les systèmes Linux

Contrairement à de nombreux malwares Linux qui s’exécutent simplement comme un binaire malveillant, OrBit modifie le fonctionnement du chargement des bibliothèques partagées.

Concrètement, il détourne le flux d’exécution pour injecter du code malveillant chaque fois qu’un programme démarre ou appelle certaines fonctions système.

Cette technique offre plusieurs avantages aux attaquants :

• Le code malveillant s’exécute à l’intérieur de processus légitimes.
• Les outils de sécurité peuvent ne voir qu’une activité apparemment normale.
• Le rootkit peut intercepter des commandes et capturer des données sensibles.

Les analyses indiquent qu’OrBit peut intercepter des dizaines de fonctions système, lui permettant de surveiller l’activité, voler des identifiants et manipuler le comportement des processus sans laisser d’indices évidents.

Comme la bibliothèque malveillante est chargée dans de nombreux processus, le rootkit se propage rapidement à l’ensemble du système une fois installé.

Le tournant : un fork d’un rootkit open source

Les premiers rapports décrivaient OrBit comme une souche de malware unique. Des investigations plus récentes ont cependant montré qu’il s’agit en réalité d’un clone modifié du rootkit open source Medusa, disponible sur GitHub.

Cette découverte a profondément changé la perception de la menace.

Plutôt que d’être maintenu par un seul groupe disposant d’un outil propriétaire, OrBit semble faire partie d’un écosystème de rootkits forkables. Les attaquants peuvent réutiliser le code public, ajuster certaines configurations et déployer différentes variantes dans leurs campagnes.

Des analyses menées sur plusieurs années montrent d’ailleurs différentes utilisations et forks du code, suggérant que plusieurs opérateurs distincts pourraient s’appuyer sur cette base plutôt que développer leurs propres rootkits.

Capacités observées dans les campagnes OrBit

Plusieurs fonctionnalités apparaissent de façon récurrente dans les analyses techniques.

Vol d’identifiants

OrBit peut capturer les identifiants SSH et sudo, ce qui permet aux attaquants d’augmenter leurs privilèges et de se déplacer latéralement dans des environnements Linux.

Injection dans l’ensemble des processus

Grâce à la manipulation des bibliothèques partagées, le rootkit peut affecter les processus existants et ceux lancés ultérieurement sur le système compromis.

Journalisation des commandes

Le malware peut enregistrer les commandes exécutées par les utilisateurs et stocker les résultats dans des fichiers cachés sur la machine infectée.

Furtivité et évasion

En s’exécutant à l’intérieur de processus légitimes et en interceptant des fonctions système, OrBit peut contourner de nombreux outils de sécurité traditionnels.

Méthodes d’infection : ce que l’on sait

Les analyses publiques décrivent assez bien le comportement d’OrBit après l’infection, mais les détails sur les vecteurs d’accès initiaux restent limités.

Ce qui est confirmé :

• Le malware nécessite des privilèges élevés (root) pour se déployer complètement.
• Il peut être installé soit de manière persistante, soit comme implant temporaire en mémoire.

En revanche, les sources disponibles ne fournissent pas de preuve solide sur les méthodes d’accès initial — par exemple phishing, exploitation de vulnérabilités ou attaques SSH par force brute. Ces vecteurs restent donc non confirmés publiquement.

Indicateurs que les équipes de sécurité devraient surveiller

Comme différentes variantes d’OrBit peuvent exister, les défenseurs doivent privilégier une détection basée sur les comportements plutôt que sur des signatures spécifiques.

Activité anormale du chargeur dynamique ou des bibliothèques

OrBit repose sur la manipulation du chargeur et des bibliothèques partagées pour charger automatiquement du code malveillant lors de l’exécution des programmes.

Accès suspect aux flux d’authentification

Des activités inhabituelles liées à SSH ou sudo peuvent indiquer une tentative d’interception d’identifiants.

Injection dans plusieurs processus

Le rootkit infecte les processus actifs et ceux lancés ultérieurement. Une injection de bibliothèques observée dans de nombreux processus peut être un signe révélateur.

Fichiers cachés contenant les résultats de commandes

Certaines variantes stockent les sorties de commandes dans des fichiers temporaires cachés, par exemple /tmp/.orbit.

Artefacts typiques de rootkits Linux

Les enquêteurs peuvent également s’appuyer sur des collections d’indicateurs de compromission (IOC) issues de recherches sur les rootkits Linux afin d’identifier fichiers, chemins ou traces suspectes.

Pourquoi OrBit inquiète les entreprises

La principale leçon à retenir avec OrBit n’est pas seulement sa furtivité, mais sa réutilisabilité.

Parce qu’il dérive d’un malware open source, il est relativement simple pour des acteurs malveillants de le forker et de l’adapter. Cela réduit considérablement la barrière technique pour cibler des infrastructures Linux, notamment les serveurs cloud et les environnements d’entreprise.

Pour les équipes de sécurité, la meilleure approche consiste donc à considérer OrBit non pas comme un malware unique, mais comme un ensemble de techniques : détournement de bibliothèques partagées, interception de fonctions système, vol d’identifiants et persistance au niveau des processus.

Une surveillance centrée sur ces comportements offre les meilleures chances de détecter les variantes actuelles — et futures — de ce rootkit.