Эксперты специализирующейся на кибербезопасности компании Intezer Labs сообщили об обнаружении вредоноса OrBit для Linux, который пока выявляется не всеми антивирусными системами, крадёт конфиденциальные данные и заражает запущенные в системе процессы.

Как уточнили в Intezer Labs, OrBit изменяет переменную окружения LD_PRELOAD, что позволяет ему управлять загрузкой библиотек и перехватывать вызовы функций. Вредонос собирает логины и пароли, а также вводимые в терминале команды, и предоставляет злоумышленникам доступ по SSH. До недавнего времени OrBit не помечался антивирусными системами как опасное ПО, однако разработчики систем защиты уже начали вносить его в свои базы.

Отличительными особенностями вируса отмечаются хранение похищенных конфиденциальных данных в файлах на самой машине, а также почти «герметичное» подключение к библиотекам на заражённом ПК, что обеспечивает OrBit стабильную работу, возможность избежать обнаружения и поддерживать работу SSH-бэкдора.

Ресурс BleepingComputer отметил растущую «популярность» системы Linux в среде киберпреступников. Недавно был обнаружен вредонос Symbiote, который также использует LD_PRELOAD для заражения. Похожим образом работает и вирус BPFDoor — он скрывается под именами распространённых демонов, из-за чего он ускользал от внимания экспертов целых пять лет.