Rootkit Linux OrBit Kini Berubah Menjadi Ancaman Open‑Source yang Mudah Dipakai Ulang

Serangan malware terhadap sistem Linux semakin sering memanfaatkan alat open‑source yang dapat digunakan ulang, dan rootkit OrBit menjadi contoh jelas dari tren ini. Ketika pertama kali diungkap pada 2022, OrBit dianggap sebagai malware Linux baru yang sangat tersembunyi dan kemungkinan dibuat khusus oleh satu kelompok penyerang. Namun analisis lanjutan menunjukkan bahwa malware ini sebenarnya turunan dari rootkit Medusa yang tersedia secara publik, sehingga siapa pun dapat mem-fork dan memodifikasinya untuk kampanye baru.

Perubahan ini punya dampak besar bagi tim keamanan perusahaan. Alih‑alih melacak satu varian malware, mereka perlu memahami pola teknik yang digunakan—karena berbagai versi OrBit dapat muncul dengan modifikasi kecil tetapi tetap memakai metode serangan yang sama.

Penemuan Awal pada 2022

Peneliti keamanan pertama kali mengidentifikasi OrBit sebagai malware Linux yang sangat canggih dan sulit terdeteksi. Setelah terpasang di sistem korban, malware ini dapat menyusup jauh ke dalam lingkungan Linux dengan cara memodifikasi mekanisme pemuatan library bersama (shared libraries).

Kemampuan yang ditemukan pada tahap awal meliputi:

• Menginfeksi semua proses yang sedang berjalan pada sistem
• Mencuri kredensial dari sesi SSH
• Mencatat perintah TTY yang dijalankan pengguna
• Memberikan akses jarak jauh melalui SSH
• Menggunakan teknik evasi dan persistensi tingkat lanjut

Peneliti juga menemukan bahwa OrBit bisa berjalan dalam dua mode: persisten di sistem atau payload sementara di memori, tergantung bagaimana penyerang memasangnya.

Cara Kerja OrBit di Dalam Sistem Linux

Tidak seperti banyak malware Linux yang berjalan sebagai program mandiri, OrBit bekerja dengan membajak shared library yang dipanggil oleh berbagai program di sistem.

Dengan teknik ini, malware dapat mencegat panggilan fungsi sistem dan mengubah perilaku aplikasi tanpa terlihat mencurigakan.

Pendekatan ini memberi beberapa keuntungan bagi penyerang:

• Aktivitas berbahaya tersembunyi di dalam proses yang sah
• Alat keamanan sering hanya melihat aktivitas sistem yang tampak normal
• Malware dapat memantau perintah dan mencuri data sensitif

Penelitian menunjukkan bahwa OrBit mampu mengaitkan (hook) puluhan fungsi sistem penting, sehingga dapat memonitor aktivitas, mencuri kredensial, dan memanipulasi proses tanpa indikator yang jelas.

Karena library berbahaya dimuat oleh banyak proses, rootkit ini secara efektif menyebar ke seluruh sistem setelah instalasi.

Dari Malware Kustom ke Fork Open‑Source

Pada awalnya, OrBit dianggap sebagai malware unik yang dibuat khusus oleh satu pelaku. Namun analisis berikutnya menunjukkan bahwa kode tersebut sebenarnya kloning yang dimodifikasi dari rootkit Medusa, proyek open‑source yang tersedia di GitHub.

Penemuan ini mengubah cara para peneliti memandang ancaman tersebut.

Alih‑alih malware eksklusif milik satu kelompok, OrBit tampaknya menjadi bagian dari ekosistem rootkit yang bisa difork. Penyerang dapat menggunakan kode dasar yang sama, mengubah konfigurasi atau fitur tertentu, lalu menyebarkannya sebagai varian baru dalam berbagai kampanye.

Pengamatan selama beberapa tahun juga menemukan beberapa deployment berbeda, yang menunjukkan bahwa kemungkinan berbagai operator memanfaatkan kode yang sama daripada mengembangkan rootkit baru dari nol.

Kemampuan yang Sering Ditemukan dalam Kampanye OrBit

Berbagai laporan keamanan menunjukkan sejumlah fitur yang hampir selalu muncul pada varian OrBit.

Pencurian kredensial

Rootkit ini mampu menangkap kredensial SSH dan sudo, yang dapat digunakan penyerang untuk meningkatkan hak akses atau bergerak secara lateral di lingkungan Linux.

Hooking proses secara luas

Dengan menyuntikkan kode ke shared library, OrBit dapat memengaruhi proses yang sudah berjalan maupun proses baru yang diluncurkan pada sistem.

Pencatatan perintah dan pengumpulan data

Malware ini dapat mencatat perintah yang dijalankan pengguna dan menyimpan hasilnya dalam file tersembunyi pada sistem yang terinfeksi.

Teknik stealth dan evasi

Karena berjalan di dalam proses sah dan memodifikasi fungsi sistem, OrBit dapat menghindari deteksi oleh banyak alat keamanan tradisional.

Cara Penyebaran: Apa yang Diketahui dan Tidak

Informasi publik memberikan detail yang cukup jelas tentang cara kerja OrBit setelah berada di sistem, tetapi bukti tentang metode infeksi awal masih terbatas.

Yang diketahui:

• Malware memerlukan hak akses tinggi (misalnya root) agar dapat terpasang sepenuhnya di sistem.
• Ia dapat dipasang sebagai implant persisten atau payload sementara di memori.

Namun hingga saat ini belum ada bukti kuat yang mengonfirmasi metode awal seperti phishing, eksploitasi kerentanan, atau brute‑force SSH. Jalur infeksi tersebut masih belum dipastikan dalam penelitian publik.

Indikator yang Perlu Dipantau Tim Keamanan

Karena varian OrBit dapat berubah antar kampanye, pendekatan terbaik adalah memantau indikator perilaku, bukan hanya hash file tertentu.

Beberapa sinyal penting meliputi:

Perilaku linker atau shared library yang tidak normal

OrBit bergantung pada manipulasi library bersama atau konfigurasi loader agar kode berbahaya otomatis dimuat saat program dijalankan.

Aktivitas pencurian kredensial

Akses mencurigakan terhadap alur autentikasi SSH atau pengelolaan kredensial sudo dapat menunjukkan adanya intersepsi oleh malware.

Pola injeksi ke banyak proses

Rootkit ini menginfeksi proses yang sudah berjalan dan proses baru pada host. Aktivitas injeksi library ke banyak proses sekaligus patut dicurigai.

File tersembunyi yang menyimpan output perintah

Beberapa varian diketahui menyimpan hasil perintah dalam file tersembunyi seperti /tmp/.orbit.

Artefak rootkit pada host Linux

Tim forensik juga dapat menggunakan koleksi indikator kompromi (IOC) dari penelitian rootkit Linux untuk mengidentifikasi file, path, atau artefak yang terkait dengan aktivitas rootkit.

Mengapa OrBit Penting bagi Keamanan Perusahaan

Pelajaran utama dari OrBit bukan hanya tingkat penyamarannya—tetapi kemudahan penggunaan ulangnya.

Karena berasal dari kode open‑source, rootkit ini dapat dengan mudah difork dan dimodifikasi oleh penyerang lain. Hal ini menurunkan hambatan teknis bagi pelaku ancaman yang menargetkan server Linux, termasuk infrastruktur cloud dan lingkungan enterprise yang sangat bergantung pada Linux.

Bagi tim keamanan, pendekatan terbaik adalah melihat OrBit bukan sebagai satu keluarga malware tunggal, melainkan sebagai pola teknik serangan: pembajakan shared library, pencurian kredensial, dan persistensi lintas proses.

Dengan fokus pada indikator perilaku tersebut—bukan hanya signature statis—organisasi memiliki peluang lebih besar untuk mendeteksi varian OrBit saat ini maupun yang akan muncul di masa depan.