Rootkit Linux OrBit Kini Berubah Menjadi Ancaman Open‑Source yang Mudah Dipakai Ulang

Peneliti juga menemukan bahwa OrBit bisa berjalan dalam dua mode: persisten di sistem atau payload sementara di memori, tergantung bagaimana penyerang memasangnya.

Cara Kerja OrBit di Dalam Sistem Linux

Tidak seperti banyak malware Linux yang berjalan sebagai program mandiri, OrBit bekerja dengan membajak shared library yang dipanggil oleh berbagai program di sistem.

Dengan teknik ini, malware dapat mencegat panggilan fungsi sistem dan mengubah perilaku aplikasi tanpa terlihat mencurigakan.

Pendekatan ini memberi beberapa keuntungan bagi penyerang:

• Aktivitas berbahaya tersembunyi di dalam proses yang sah
• Alat keamanan sering hanya melihat aktivitas sistem yang tampak normal
• Malware dapat memantau perintah dan mencuri data sensitif

Penelitian menunjukkan bahwa OrBit mampu mengaitkan (hook) puluhan fungsi sistem penting, sehingga dapat memonitor aktivitas, mencuri kredensial, dan memanipulasi proses tanpa indikator yang jelas.

Karena library berbahaya dimuat oleh banyak proses, rootkit ini secara efektif menyebar ke seluruh sistem setelah instalasi.

Dari Malware Kustom ke Fork Open‑Source

Pada awalnya, OrBit dianggap sebagai malware unik yang dibuat khusus oleh satu pelaku. Namun analisis berikutnya menunjukkan bahwa kode tersebut sebenarnya kloning yang dimodifikasi dari rootkit Medusa, proyek open‑source yang tersedia di GitHub.

Penemuan ini mengubah cara para peneliti memandang ancaman tersebut.

Alih‑alih malware eksklusif milik satu kelompok, OrBit tampaknya menjadi bagian dari ekosistem rootkit yang bisa difork. Penyerang dapat menggunakan kode dasar yang sama, mengubah konfigurasi atau fitur tertentu, lalu menyebarkannya sebagai varian baru dalam berbagai kampanye.

Pengamatan selama beberapa tahun juga menemukan beberapa deployment berbeda, yang menunjukkan bahwa kemungkinan berbagai operator memanfaatkan kode yang sama daripada mengembangkan rootkit baru dari nol.

Kemampuan yang Sering Ditemukan dalam Kampanye OrBit

Berbagai laporan keamanan menunjukkan sejumlah fitur yang hampir selalu muncul pada varian OrBit.

Pencurian kredensial

Rootkit ini mampu menangkap kredensial SSH dan sudo, yang dapat digunakan penyerang untuk meningkatkan hak akses atau bergerak secara lateral di lingkungan Linux.

Hooking proses secara luas

Dengan menyuntikkan kode ke shared library, OrBit dapat memengaruhi proses yang sudah berjalan maupun proses baru yang diluncurkan pada sistem.

Pencatatan perintah dan pengumpulan data

Malware ini dapat mencatat perintah yang dijalankan pengguna dan menyimpan hasilnya dalam file tersembunyi pada sistem yang terinfeksi.

Teknik stealth dan evasi

Karena berjalan di dalam proses sah dan memodifikasi fungsi sistem, OrBit dapat menghindari deteksi oleh banyak alat keamanan tradisional.

Cara Penyebaran: Apa yang Diketahui dan Tidak

Informasi publik memberikan detail yang cukup jelas tentang cara kerja OrBit setelah berada di sistem, tetapi bukti tentang metode infeksi awal masih terbatas.

Yang diketahui:

• Malware memerlukan hak akses tinggi (misalnya root) agar dapat terpasang sepenuhnya di sistem.
• Ia dapat dipasang sebagai implant persisten atau payload sementara di memori.

Namun hingga saat ini belum ada bukti kuat yang mengonfirmasi metode awal seperti phishing, eksploitasi kerentanan, atau brute‑force SSH. Jalur infeksi tersebut masih belum dipastikan dalam penelitian publik.

Indikator yang Perlu Dipantau Tim Keamanan

Karena varian OrBit dapat berubah antar kampanye, pendekatan terbaik adalah memantau indikator perilaku, bukan hanya hash file tertentu.

Beberapa sinyal penting meliputi:

Perilaku linker atau shared library yang tidak normal

OrBit bergantung pada manipulasi library bersama atau konfigurasi loader agar kode berbahaya otomatis dimuat saat program dijalankan.

Aktivitas pencurian kredensial

Akses mencurigakan terhadap alur autentikasi SSH atau pengelolaan kredensial sudo dapat menunjukkan adanya intersepsi oleh malware.

Pola injeksi ke banyak proses

Rootkit ini menginfeksi proses yang sudah berjalan dan proses baru pada host. Aktivitas injeksi library ke banyak proses sekaligus patut dicurigai.

File tersembunyi yang menyimpan output perintah

Beberapa varian diketahui menyimpan hasil perintah dalam file tersembunyi seperti /tmp/.orbit.

Artefak rootkit pada host Linux

Tim forensik juga dapat menggunakan koleksi indikator kompromi (IOC) dari penelitian rootkit Linux untuk mengidentifikasi file, path, atau artefak yang terkait dengan aktivitas rootkit.

Mengapa OrBit Penting bagi Keamanan Perusahaan

Pelajaran utama dari OrBit bukan hanya tingkat penyamarannya—tetapi kemudahan penggunaan ulangnya.

Karena berasal dari kode open‑source, rootkit ini dapat dengan mudah difork dan dimodifikasi oleh penyerang lain. Hal ini menurunkan hambatan teknis bagi pelaku ancaman yang menargetkan server Linux, termasuk infrastruktur cloud dan lingkungan enterprise yang sangat bergantung pada Linux.

Bagi tim keamanan, pendekatan terbaik adalah melihat OrBit bukan sebagai satu keluarga malware tunggal, melainkan sebagai pola teknik serangan: pembajakan shared library, pencurian kredensial, dan persistensi lintas proses.

Dengan fokus pada indikator perilaku tersebut—bukan hanya signature statis—organisasi memiliki peluang lebih besar untuk mendeteksi varian OrBit saat ini maupun yang akan muncul di masa depan.