Intezer alerte sur OrBit, une menace Linux

Linux est largement utilisé par les serveurs et les infrastructures cloud, ce qui explique la recrudescence de logiciels malveillants visant cet OS. Après avoir identifié et analysé le malware Linux Symbiote, la société de cybersécurité Intezer a récemment publié un avertissement et une analyse technique d’une nouvelle menace Linux non-détectée, baptisée OrBit.

Le logiciel malveillant, qui utilise un détournement unique des flux d’exécution, peut aussi bien être installé de manière persistante sur une machine qu’être utilisé comme un implant temporaire.

OrBit utilise des techniques de compromissions avancées, visant des fonctions-clés de la machine. Il peut ainsi fournir aux cybercriminels des capacités d’accès à distance via SSH, récolter des informations d’identification et enregistrer les commandes TTY.

Une fois installé, le malware infecte tous les processus en cours d’exécution, y compris les nouveaux processus qui sont exécutés sur la machine. Intezer note qu’OrBit utilise deux méthodes différentes pour charger sa bibliothèque malveillante.

« La première consiste à ajouter le fichier malveillant au fichier de configuration utilisé par le loader. La seconde consiste à modifier le binaire du loader lui-même, afin qu’il charge le fichier malveillant », détaille la société de cybersécurité.