LONDON (IT BOLTWISE) – Ein Rootkit namens OrBit soll seit Jahren Linux-Systeme infiltrieren, indem es Login- und Sudo-Zugangsdaten abgreift und gleichzeitig bei vielen Sicherheitschecks verborgen bleibt. Neue Analysen zeigen, dass OrBit nicht neu entwickelt wurde, sondern eine abgeänderte Version eines öffentlich verfügbaren Rootkits ist. Besonders kritisch ist ein Funktionssprung: In einer späteren Version kann OrBit Authentifizierungsergebnisse für SSH-basierte Zugriffe aktiv beeinflussen. Damit steigt das Risiko, dass kompromittierte Systeme langfristig als „vertrauenswürdig“ wirken und unbemerkt Zugänge ermöglichen.
OrBit ist ein Rootkit, das auf Linux-Systemen offenbar über einen langen Zeitraum unauffällig Persistenz aufbaut und dabei genau dort ansetzt, wo viele Organisationen ihre Zugriffskontrolle am stärksten auf Vertrauen gründen: bei SSH und sudo. Während klassische Malware eher durch auffällige Prozesse, Log-Spam oder leicht nachweisbare Dateien ins Visier gerät, wird OrBit so in das System eingebunden, dass es sich für Administrierende und gängige Sicherheitswerkzeuge weitgehend unsichtbar macht. Branchenberichte und Sicherheitsforscher ordnen OrBit deshalb weniger als „Einmalangriff“ ein, sondern als Strategie zur dauerhaften Zugriffsermöglichung.
Technisch wirkt OrBit, wie die vorliegenden Untersuchungen nahelegen, nicht wie ein komplett neuer Code, sondern wie eine modifizierte Variante eines öffentlich verfügbaren Projekts. Als Ausgangsbasis identifizierten Analysten ein Rootkit mit dem Namen Medusa, das im Dezember 2022 auf GitHub veröffentlicht wurde. Der entscheidende Punkt ist dabei weniger die Herkunft als die operative Anpassung: Statt durch neu geschriebene Kernlogik zu überzeugen, verfeinern Angreifer typischerweise Konfigurationen, rotieren Zugangsdaten und ändern Installationspfade, um Erkennungsmuster zu verwirren. Genau diese „Umbau“-Eigenschaft macht OrBit für Verteidiger besonders unberechenbar.
Im Detail bindet sich OrBit als Shared-Library-Datei in den Zielrechner ein und nutzt dabei eine Persistenzschicht über den Dynamic Linker. Das bedeutet: Die schädliche Bibliothek wird so konfiguriert, dass sie bei nahezu jedem Prozessstart automatisch geladen wird. Von dort aus kann sie systemnahe Funktionen abfangen und damit Dateizugriffe, Verzeichnisauflistungen und Netzwerkinformationen so „umformen“, dass sie bei Routine-Checks nicht oder verzerrt sichtbar sind. Die gestohlenen Daten, darunter Login- und Sudo-bezogene Geheimnisse, werden in einem versteckten Verzeichnis abgelegt, das durch die Rootkit-Hooks zudem für Standard-Tools nicht zuverlässig auffindbar ist.
Die Analyse beschreibt außerdem zwei Varianten von Build-Linien, die über die Zeit koexistierten. Eine vollständige Linie (Lineage A) enthält demnach das gesamte Angriffswerkzeug, während eine abgespeckte Linie (Lineage B) die Funktionalität reduziert, um das Auftreten möglichst leichtgewichtig zu halten. Besonders relevant ist, dass in späteren Versionen ein Funktionssprung auftritt: Im Jahr 2025 wurde ein Hook mit der Bezeichnung pam_sm_authenticate ergänzt, eine serverseitige Authentifizierungsfunktion. Während ältere Builds eher passiv sammeln konnten, eröffnet diese Änderung die Möglichkeit, Authentifizierungsergebnisse gezielt zu fälschen. Damit können Angreifer Loginversuche je nach Bedarf genehmigen oder ablehnen.
Für die Markt- und Bedrohungslage ist dabei entscheidend, dass OrBit nicht „nur von einer einzigen Gruppe“ betrieben wird. Sicherheitsunternehmen berichten, dass mindestens drei unterschiedliche Akteursgruppen OrBit nutzten. Ein Beispiel ist UNC3886, ein staatlich unterstütztes Spionagekollektiv, das laut Zuordnungen mit einem konsistenten Schlüsselmaterial, eigenen Zugangsdaten und einem Installationspfad agierte, der sich mit einer der späteren Lineage-A-Samples deckt. Parallel wird aus der Kriminalitätslandschaft heraus beschrieben, dass eine eCrime-Gruppe OrBit einsetzen konnte, um in Virtualisierungsumgebungen (etwa in VMware-nahen Infrastrukturen) leise Präsenz aufrechtzuerhalten.
Hinzu kommt eine weitere Kampagne, die über 2025 identifiziert wurde und eine Dropper-Architektur nutzt, die an Berichte zu einem Linux-Botnetz erinnert, das bereits seit 2020 im Fokus stand. Für Verteidiger heißt das: OrBit erscheint hier als „Modul“, das in vorhandene Delivery-Ketten eingebaut wird, statt als Einzelwerk mit klar definierter Signatur. Als operatives Sicherheitssignal nennen Analysten außerdem bestimmte ko-lokierte Artefakte, etwa wiederkehrende Dateinamen wie sshpass.txt, .logpam oder .ports in unerwarteten Verzeichnissen. Solche Muster helfen bei der Familienerkennung, selbst wenn Pfade oder Zugangsdaten innerhalb einer Kampagne angepasst werden.
Aus Sicht der Erkennung sind YARA-Regeln ein naheliegter Ansatz, weil sie Strukturmerkmale und bekannte Klartextsegmente auch bei variierender Verschlüsselung adressieren können. Die Untersuchungen beschreiben dabei Mechanismen, die XOR-String-Tabellen mit variablen Schlüsseln dekodieren und anschließend auf wiederkehrende Plaintext-Einträge matchen. Das erleichtert das Auffinden verschiedener Builds, selbst wenn Angreifer Installationspfade ändern oder Credential-Material austauschen. Allerdings gilt: Für Enterprise-Umgebungen muss Erkennung immer mit Validierung kombiniert werden, etwa durch integritätsbasierte Checks (File Integrity Monitoring), Prozess- und Bibliotheksinventarisierung sowie durch eine konsequente Segmentierung der Systems, auf denen Authentifizierungslogik berührt wird.
In der Zukunft dürfte OrBit weniger als „Spezialfall“ wahrgenommen werden und eher als Beispiel dafür, wie Rootkits sich vom statischen Diebstahl von Daten zu manipulativen Zugriffsmechanismen weiterentwickeln. Der entscheidende Trend ist der Übergang von passivem Credential-Harvesting hin zu aktiver Kontrolle über Authentifizierungsentscheidungen über PAM-Hooks. Für Organisationen bedeutet das, dass Incident Response und Hardening stärker auf Vertrauensketten ausgerichtet werden müssen: Besonders kritisch sind Systeme, auf denen SSH-Services zentralen Zugriff erlauben, und die Bibliotheks-Persistenz über Dynamic Linker-Konfiguration. Entwickler und Security-Teams sollten außerdem prüfen, wie ihre Observability-Layer umgehen, wenn Bibliotheken Prozesse „leise“ beeinflussen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OrBit-Rootkit: GitHub-Variante attackiert Linux und manipuliert SSH-Authentifizierung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OrBit-Rootkit: GitHub-Variante attackiert Linux und manipuliert SSH-Authentifizierung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OrBit-Rootkit: GitHub-Variante attackiert Linux und manipuliert SSH-Authentifizierung« bei Google Deutschland suchen, bei Bing oder Google News!