OrBit Linux Rootkit：從客製化惡意程式演變為可分支重用的開源攻擊工具

研究報告中觀察到的主要特徵包括：

• 感染主機上的所有運行程序
• 從 SSH 連線中竊取登入憑證
• 記錄使用者的 TTY 指令
• 透過 SSH 建立遠端存取能力
• 採用多種隱匿與持久化技術

研究人員指出，OrBit 可以依攻擊者需求被安裝為持久化植入程式，或僅作為暫時的記憶體植入（in‑memory payload）。

OrBit 如何在 Linux 系統中運作

與許多以獨立可執行檔運作的 Linux 惡意程式不同，OrBit 主要透過修改程式載入共享函式庫的方式運作。

它會劫持程式的執行流程，使惡意程式碼在應用程式啟動或呼叫特定函式時自動注入。

這種技術為攻擊者帶來幾個優勢：

• 惡意行為隱藏在合法程序內
• 安全工具可能只看到正常系統活動
• rootkit 可攔截指令並竊取敏感資料

研究顯示，該惡意程式可以攔截數十個系統函式，讓攻擊者在不產生明顯痕跡的情況下監控活動、竊取憑證並操控程序行為。

由於惡意函式庫會被多個程序載入，一旦安裝完成，rootkit 幾乎會「遍佈整個系統」。

關鍵轉折：從客製化惡意程式到開源分支

最早的報導將 OrBit 描述為一種全新且高度客製化的 Linux 惡意程式。不過後續研究發現，它其實是 Medusa 開源 rootkit 的修改版本。

這項發現改變了資安研究人員對威脅的理解。

與其說 OrBit 是某個單一攻擊者維護的專屬工具，更合理的解釋是它屬於一個可分支的 rootkit 生態系。攻擊者可以直接使用公開程式碼庫、修改設定，並在不同攻擊活動中部署略有差異的版本。

安全研究人員在數年的觀察中發現多次部署案例，顯示不同操作者可能只是重複利用相同的程式碼基礎，而非自行開發新的 rootkit。

OrBit 在攻擊行動中的主要能力

多份研究報告顯示，OrBit 在不同攻擊活動中通常具備以下能力：

憑證竊取

該 rootkit 會收集 SSH 與 sudo 憑證，讓攻擊者能進一步提升權限並在 Linux 環境中橫向移動。

全程序攔截

透過在共享函式庫中注入程式碼，OrBit 能影響主機上既有與新啟動的程序。

指令記錄與資料蒐集

惡意程式會記錄使用者執行的指令，並可能將輸出內容儲存在系統中的隱藏檔案，例如 /tmp/.orbit。

高度隱匿

由於 rootkit 在合法程序內運作並攔截系統函式，許多傳統安全工具難以直接偵測到其存在。

傳播方式：目前已知與未知資訊

公開研究對 OrBit 安裝後的行為描述相當詳細，但對於最初入侵方式的證據仍然有限。

目前可確認的資訊包括：

• 惡意程式需要較高權限（例如 root）才能完整部署。
• 可以以持久化或暫時記憶體植入方式運作。

然而，現有公開資料並未提供可靠證據指出其具體傳播途徑，例如：

• 釣魚攻擊
• 漏洞利用
• SSH 暴力破解

這些初始入侵路徑目前仍未被研究證實。

企業防禦應關注的偵測指標

由於 OrBit 可能存在多個變種，資安團隊應重點監控行為型指標，而非單一檔案雜湊值。

異常的動態連結器或共享函式庫行為

OrBit 依賴劫持共享函式庫或修改 loader 設定，使惡意程式在程式啟動時自動載入。

憑證存取異常

若系統出現對 SSH 或 sudo 認證流程的異常存取，可能代表憑證攔截行為。

多程序注入行為

rootkit 會感染所有正在運行或新啟動的程序，因此跨多個程序的異常函式庫注入值得調查。

隱藏檔案與可疑暫存資料

某些變種會將指令輸出儲存在隱藏檔案，例如 /tmp/.orbit。

Linux rootkit 痕跡

資安調查人員也可以參考 Linux rootkit IOC 集合，以識別可能與 rootkit 活動相關的檔案路徑與鑑識跡象。

為什麼 OrBit 對企業資安特別重要

OrBit 真正值得關注的地方，不只是它的隱匿能力，而是它的可重用性。

由於它源自開源 rootkit 程式碼，攻擊者只需修改設定或稍作調整，就能快速產生新的變種。這大幅降低了針對 Linux 基礎設施（包括雲端伺服器與企業系統）的攻擊門檻。

因此，防禦策略不應只把 OrBit 視為單一惡意程式家族，而應把它當作一種攻擊技術模式：

• 共享函式庫劫持
• 憑證竊取
• 跨程序持久化

針對這些行為建立監控與偵測機制，通常比依賴靜態特徵碼更有效，也更能應對未來可能出現的 OrBit 變種。