OrBitルートキット Linuxを狙いSSHおよびSudoの認証情報を盗む

ハッカーたちは、OrBitとして知られる潜行性Linuxルートキットを継続的に悪用し、SSHおよびsudo認証情報を収集しており、新しい研究では、この脅威が4年間の間に静かに進化を続けながら現在も野生で活動していることが示されている。

2022年に初めて分析されたOrBitは、最初はカスタムビルドされたLinuxユーザーランドルートキットと考えられていた。これはシステムの動的リンカ(ld.so)をハイジャックすることで動作し、すべての実行プロセスに悪意のある共有ライブラリが読み込まれるようにしている。

これにより、攻撃者は認証フローをインターセプトし、認証情報をキャプチャし、管理者からの存在を隠すことができる。

Intezerレポートによると、OrBitはユニークな創作ではないことが明らかになった。代わりに、2022年後半にGitHubで公開されたオープンソースのLD_PRELOADルートキットであるMedusaの再パッケージ版である。

脅威アクターは新しいマルウェアを開発する代わりに、この公開されているコードベースを異なる設定、認証情報、およびステルス技術で修正・再展開してきた。

デプロイされると、OrBitはパッシブな侵入ツールとして機能する。従来のコマンド・アンド・コントロール通信には依存しない。代わりに、攻撃者は隠されたSSHバックドアを通じて侵害されたシステムにアクセスする。

一方、ルートキットはPluggable Authentication Modules(PAM)にフックしてSSHログインおよびsudoアクティビティからユーザー名とパスワードを静かにキャプチャし、/lib/libseconf/などの隠しディレクトリにローカルに保存する。

OrBitルートキット Linuxを狙う

マルウェアのステルス機能は特に高度である。40以上のlibc関数にフックすることで、OrBitはファイル、プロセス、およびネットワーク接続を隠すことができ、検査下でも感染したシステムはきれいに見える。

2022年から2026年のサンプルを追跡する研究者は、2つの主要なバリアントを特定した。最初のものはLineage Aと呼ばれ、認証情報収集、ネットワーク隠蔽、パケットキャプチャ、およびバックドアアクセスを含む完全機能ビルドである。

2番目のものはLineage Bで、複数の機能を削除した軽量版であり、おそらくフットプリントを削減し、検出を回避するためである。特に、Lineage Bサンプルはしばしば埋め込みパスワードを欠いており、別の認証方法を示唆している。

時間の経過とともに、攻撃者はコアコードを大きく変更していない。代わりに、認証情報をローテーションし、インストールパスを修正し、機能を調整してきた。

例えば、新しいバリアントは、ルートキットを明かす可能性のあるシステム不安定性を防ぐためのカスタム「xread」関数などの互換性修正を導入した。

後続バージョンはまた監査ログ回避を追加し、2025年に、より高度なPAMフックを追加し、攻撃者が認証結果を観察するだけでなく操作することを可能にした。

大きな転換は2025年に発生し、オペレータはマルチステージ感染チェーンを導入した。これにはドロッパーと、システム全体にマルウェアを拡散させ、cronジョブを介してパーシステンスを確立する能力を持つインフェクターが含まれた。

以前のバージョンとは異なり、このバリアントはリモートドメインからペイロードをダウンロードすることで限定的な外部通信を導入し、OrBitが初めてコマンド・アンド・コントロールのような動作を示した。

このキャンペーンにリンクされたインフラストラクチャは、RHOMBUSボットネットを含む古いマルウェアアクティビティと重なるが、属性は不確実なままである。

同時に、OrBitを使用している複数の脅威グループが観察されており、ランサムウェアリンクのBLOCKADE SPIDERと国家支援の諜報グループUNC3886を含む。

この広範な採用は脅威ランドスケープの重要な転換を浮き彫りにしている。OrBitは単一のアクターに限定されなくなり、Linux環境全体にわたって複数のグループがパーシステンスおよび認証情報盗用のために使用する共有ツールキットになった。これには重要インフラおよび仮想化システムが含まれる。

セキュリティエキスパートは、ディフェンダーが攻撃を特定のグループに属性化することに少なくするのではなく、Medusaベースのルートキットの基本的な動作を検出することにより多く焦点を当てるべきと警告している。

その一貫したビルドパターン、隠されたファイルシステムアーティファクト、および認証情報収集技術は、攻撃者がパスとパスワードのような表面的な要素を修正し続けても、侵害の信頼できる指標のままである。

IOC

注記： IPアドレスとドメインは意図的に難読化されており（例： [.]）、誤った解決またはハイパーリンクを防ぐ。MISPやVirusTotal、またはあなたのSIEMなどの管理されたセキュリティ脅威インテリジェンスプラットフォーム内でのみ難読化を解除してください。