黑客利用OrBit Rootkit窃取Linux系统SSH与Sudo凭证

一种名为OrBit的危险rootkit多年来一直在悄无声息地针对Linux系统，窃取登录凭证并深度隐藏在受感染机器内部，几乎不会触发主流安全工具的警报。

最新研究显示，此前被认为定制开发的威胁，实则是公开可用rootkit的修改版本，正通过多个黑客组织在全球范围内传播。

OrBit通过将自身嵌入Linux系统核心实现运作，挂钩超过四十个基础系统函数，使其几乎完全隐形。一旦入侵机器，它会监听通过SSH和sudo发起的登录尝试，捕获用户名与密码并保存至标准系统扫描无法检测的隐藏目录中。攻击者随后通过秘密SSH后门连接回受控系统，全程无需经互联网发送指令。

Intezer研究人员在提交给《网络安全新闻》(CSN)的报告中指出，OrBit并非原创代码，而是基于2022年12月发布在GitHub上的公开rootkit Medusa构建而成。黑客的工作并非编写新代码，而是配置现有源文件、轮换密码及修改安装路径以维持隐蔽性。

黑客组织利用OrBit rootkitIntezer分析追踪了2022年至2026年初的十余个样本，通过静态与差异分析发现两条独立构建路径：功能完整的"谱系A"（Lineage A）携带全套攻击工具，而精简版"谱系B"（Lineage B）则移除部分功能以降低痕迹。谱系B在2024年后不再出现，表明攻击者可能已回归主版本。

OrBit以共享库文件形式部署在目标Linux机器上，通过修改动态链接器配置实现持久化，使恶意库自动加载至系统所有进程。在此位置，它拦截文件读取、目录列表及网络连接数据，对管理员和安全工具完全隐形。恶意软件将窃取的凭证和配置数据存储在标准工具无法查看的隐藏目录/lib/libseconf/中——该目录因rootkit自身的挂钩机制而不可见。

2025年出现重大能力跃升：新版构建增加了pam_sm_authenticate挂钩（一种服务器端认证函数）。早期版本仅能被动收集用户输入的凭证，而此版本可伪造认证结果，使攻击者能随意批准或拒绝受控系统的登录请求。同年还出现了新型双阶段投递链：感染器嵌入投放器，后者解压安装rootkit，并创建cron任务从外部域名获取更新载荷。

多个黑客组织利用此后门研究最令人警觉的发现是至少三个独立黑客组织正在使用OrBit：

• Mandiant追踪的国家级间谍组织UNC3886，使用特定0xAA加密密钥、专属凭证及与Intezer 2024年谱系A样本完全匹配的安装路径；
• CrowdStrike在2026年全球威胁报告中指出，以"禁运"勒索软件闻名的网络犯罪组织BLOCKADE SPIDER，利用OrBit在VMware虚拟化环境中维持隐蔽访问；
• 2025年观测到的第三起攻击使用与RHOMBUS（2020年首次报告的Linux僵尸网络）关联的相同投放器架构，两者共享解析至俄罗斯基础设施的同一C2域名。

防御建议监控sshpass.txt、.logpam和.ports等固定文件名在异常目录中的共现情况——这些是Medusa构建管道的固定产物，与编译者无关。通过变量密钥解码XOR字符串表并匹配已知明文条目的YARA规则，可捕获该家族任何版本，即使使用新凭证或重命名安装路径。

威胁指标(IoCs)：

表格

注：IP地址和域名已刻意脱敏（例如[.]），防止意外解析或超链接。仅可在MISP、VirusTotal或SIEM等受控威胁情报平台内重新启用解析功能。