OrBit Linux Rootkit: कस्टम मैलवेयर से ओपन‑सोर्स अटैक टूल तक का सफर

Linux सिस्टम के भीतर OrBit कैसे काम करता है

कई पारंपरिक Linux मैलवेयर की तरह यह केवल एक executable फाइल के रूप में नहीं चलता। इसके बजाय OrBit सिस्टम में प्रोग्राम्स द्वारा उपयोग की जाने वाली shared libraries के लोड होने की प्रक्रिया को बदल देता है।

जब कोई प्रोग्राम शुरू होता है या कोई विशेष फंक्शन कॉल करता है, तब यह rootkit अपनी दुर्भावनापूर्ण कोड को उस प्रक्रिया में इंजेक्ट कर देता है।

इस रणनीति से हमलावरों को कई फायदे मिलते हैं:

• मैलवेयर वैध प्रक्रियाओं के भीतर छिप जाता है
• सुरक्षा टूल्स को केवल सामान्य सिस्टम गतिविधि दिखाई देती है
• कमांड और संवेदनशील डेटा को चुपचाप इंटरसेप्ट किया जा सकता है

शोधकर्ताओं ने पाया कि OrBit दर्जनों सिस्टम फंक्शनों को hook कर सकता है, जिससे यह सिस्टम गतिविधियों की निगरानी, क्रेडेंशियल चोरी और प्रक्रिया व्यवहार में बदलाव कर सकता है।

क्योंकि यह लाइब्रेरी‑आधारित इंजेक्शन का उपयोग करता है, एक बार इंस्टॉल होने के बाद यह पूरे सिस्टम में फैल जाता है।

बड़ा खुलासा: “कस्टम मैलवेयर” नहीं, बल्कि ओपन‑सोर्स फोर्क

शुरुआत में OrBit को एक बिल्कुल नया और विशेष रूप से बनाया गया मैलवेयर माना गया था। लेकिन बाद में विश्लेषण से पता चला कि यह GitHub पर उपलब्ध Medusa rootkit का संशोधित क्लोन है।

इस खोज ने खतरे की प्रकृति को पूरी तरह बदल दिया।

अब यह केवल एक समूह द्वारा उपयोग किया जाने वाला टूल नहीं माना जाता, बल्कि एक ऐसा rootkit है जिसे कोई भी हमलावर:

• सार्वजनिक कोड डाउनलोड करके
• कॉन्फ़िगरेशन बदलकर
• थोड़ा संशोधन करके

नई मैलवेयर वैरिएंट में बदल सकता है।

कई वर्षों के विश्लेषण में शोधकर्ताओं ने इसके अलग‑अलग डिप्लॉयमेंट देखे हैं, जिससे संकेत मिलता है कि विभिन्न ऑपरेटर एक ही मूल कोडबेस का उपयोग कर सकते हैं।

OrBit अभियानों में देखी गई प्रमुख क्षमताएँ

क्रेडेंशियल चोरी

OrBit SSH और sudo क्रेडेंशियल्स को कैप्चर कर सकता है, जिससे हमलावर Linux वातावरण में अधिकार बढ़ा सकते हैं और अन्य सिस्टमों तक पहुंच बना सकते हैं।

सिस्टम‑व्यापी प्रोसेस हुकिंग

Shared libraries के माध्यम से इंजेक्शन के कारण यह rootkit चल रही और नई दोनों प्रक्रियाओं को प्रभावित कर सकता है।

कमांड लॉगिंग और डेटा संग्रह

कुछ मामलों में यह उपयोगकर्ताओं द्वारा चलाए गए कमांड रिकॉर्ड करता है और आउटपुट को छिपी हुई फाइलों में संग्रहीत करता है।

उन्नत stealth तकनीकें

क्योंकि यह वैध प्रक्रियाओं के भीतर चलता है और सिस्टम फंक्शनों को इंटरसेप्ट करता है, कई पारंपरिक सुरक्षा टूल इसे आसानी से पहचान नहीं पाते।

संक्रमण (Delivery) के तरीके: क्या पता है और क्या नहीं

शोध रिपोर्ट OrBit के इंस्टॉल होने के बाद के व्यवहार के बारे में काफी जानकारी देती हैं, लेकिन प्रारंभिक संक्रमण के तरीकों के बारे में स्पष्ट प्रमाण सीमित हैं।

जो बातें पुष्टि की गई हैं:

• इसे पूरी तरह इंस्टॉल करने के लिए उच्च स्तर की सिस्टम अनुमति (root privileges) की आवश्यकता होती है।
• इसे persistent या volatile दोनों रूपों में इंस्टॉल किया जा सकता है।

हालाँकि उपलब्ध सार्वजनिक शोध यह स्पष्ट रूप से नहीं बताता कि यह फिशिंग, सॉफ़्टवेयर कमजोरियों के शोषण या SSH brute‑force जैसे तरीकों से फैलता है या नहीं।

किन संकेतों पर सुरक्षा टीमों को नज़र रखनी चाहिए

क्योंकि OrBit के अलग‑अलग वेरिएंट हो सकते हैं, इसलिए केवल फाइल हैश या सिग्नेचर पर निर्भर रहना पर्याप्त नहीं है। व्यवहार‑आधारित मॉनिटरिंग अधिक प्रभावी हो सकती है।

संदिग्ध dynamic‑linker या shared library गतिविधि

OrBit shared libraries को हाइजैक करता है या loader कॉन्फ़िगरेशन बदल देता है ताकि दुर्भावनापूर्ण कोड हर प्रोग्राम लॉन्च के साथ लोड हो सके।

SSH या sudo क्रेडेंशियल एक्सेस

असामान्य ऑथेंटिकेशन गतिविधि या क्रेडेंशियल इंटरसेप्शन के संकेत संभावित संक्रमण का संकेत हो सकते हैं।

कई प्रक्रियाओं में लाइब्रेरी इंजेक्शन

यदि कई प्रक्रियाओं में असामान्य shared libraries लोड होती दिखाई दें, तो यह rootkit गतिविधि का संकेत हो सकता है।

छिपी हुई फाइलें जिनमें कमांड आउटपुट संग्रहीत हो

कुछ वेरिएंट कमांड आउटपुट को /tmp/.orbit जैसी फाइलों में स्टोर करते पाए गए हैं।

Linux rootkit से जुड़े फॉरेंसिक संकेत

जांचकर्ता Linux rootkits से जुड़े IOC (Indicators of Compromise) संग्रहों का उपयोग करके संदिग्ध फाइलों और सिस्टम आर्टिफैक्ट्स की पहचान कर सकते हैं।

एंटरप्राइज़ सुरक्षा के लिए OrBit क्यों महत्वपूर्ण है

OrBit का सबसे बड़ा खतरा केवल इसकी stealth क्षमता नहीं है, बल्कि इसका दोबारा उपयोग किया जा सकने वाला डिजाइन है।

क्योंकि यह ओपन‑सोर्स rootkit पर आधारित है, हमलावर इसे आसानी से संशोधित करके नए हमलों में इस्तेमाल कर सकते हैं। इससे Linux‑आधारित क्लाउड सर्वरों और एंटरप्राइज़ इंफ्रास्ट्रक्चर पर हमलों की बाधा कम हो जाती है।

इसलिए सुरक्षा विशेषज्ञ OrBit को अब एक साधारण मैलवेयर परिवार की तरह नहीं बल्कि एक तकनीकी पैटर्न के रूप में देखते हैं — जिसमें shared‑library hijacking, क्रेडेंशियल चोरी और सिस्टम‑व्यापी persistence शामिल हैं।

इन्हीं व्यवहारिक संकेतों की निगरानी करना मौजूदा और भविष्य के OrBit वेरिएंट का पता लगाने का सबसे भरोसेमंद तरीका माना जाता है।