Un implante de Linux previamente no documentado llamado Quasar Linux (QLNX) está atacando los sistemas de desarrolladores con una mezcla de capacidades de rootkit, puerta trasera y robo de credenciales.

El kit de malware se despliega en entornos de desarrollo y DevOps en npm, PyPI, GitHub, AWS, Docker y Kubernetes. Esto podría permitir ataques a la cadena de suministro donde el actor de la amenaza publica paquetes maliciosos en plataformas de distribución de código.

Investigadores de la empresa de ciberseguridad Trend Micro analizaron el implante QLNX y descubrieron que "compila dinámicamente objetos compartidos de rootkit y módulos de puerta trasera PAM en el host objetivo utilizando gcc [GNU Compiler Collection]".

Un informe de la empresa de esta semana señala que QLNX fue diseñado para el sigilo y la persistencia a largo plazo, ya que se ejecuta en memoria, elimina el binario original del disco, borra los registros, falsifica los nombres de los procesos y limpia las variables de entorno forenses.

El malware utiliza siete mecanismos de persistencia distintos, incluidos LD_PRELOAD, systemd, crontab, scripts init.d, XDG autostart e inyección de '.bashrc', asegurando que se cargue en cada proceso vinculado dinámicamente y vuelva a aparecer si es eliminado.



QLNX cuenta con múltiples bloques funcionales dedicados a actividades específicas, lo que lo convierte en una herramienta de ataque completa. Sus componentes principales se pueden resumir de la siguiente manera:

• * Núcleo RAT — Componente de control central basado en un marco de 58 comandos que proporciona acceso interactivo a la shell, gestión de archivos y procesos, control del sistema y operaciones de red, manteniendo una comunicación persistente con el C2 a través de canales personalizados TCP/TLS o HTTP/S.
• * Rootkit — Mecanismo de sigilo de doble capa que combina un rootkit LD_PRELOAD de espacio de usuario y un componente eBPF a nivel de kernel. La capa de usuario intercepta funciones de libc para ocultar archivos, procesos y artefactos del malware, mientras que la capa eBPF oculta PIDs, rutas de archivos y puertos de red a nivel de kernel. Ambos se despliegan dinámicamente, con el rootkit de espacio de usuario compilado en el sistema objetivo.
• * Capa de acceso a credenciales — Combina la recolección de credenciales (claves SSH, navegadores, configuraciones de nube y de desarrollador, /etc/shadow, portapapeles) con puertas traseras basadas en PAM que interceptan y registran datos de autenticación en texto plano.
• * Módulo de vigilancia — Registro de pulsaciones de teclas (keylogging), captura de pantalla y monitoreo del portapapeles.
• * Redes y movimiento lateral — Túneles TCP, proxy SOCKS, escaneo de puertos, movimiento lateral basado en SSH y redes en malla peer-to-peer.
• * Motor de ejecución e inyección — Inyección de procesos (ptrace, /proc/pid/mem) y ejecución en memoria de cargas útiles (objetos compartidos, BOF/COFF).
• * Monitoreo del sistema de archivos — Seguimiento en tiempo real de la actividad de los archivos a través de inotify.

Tras el acceso inicial, QLNX establece un punto de apoyo sin archivos, despliega mecanismos de persistencia y sigilo, y luego recolecta credenciales de desarrolladores y de la nube.

Al dirigirse a las estaciones de trabajo de los desarrolladores, los atacantes pueden eludir los controles de seguridad empresariales y acceder a las credenciales que sustentan las tuberías de entrega de software.


Este enfoque refleja incidentes recientes en la cadena de suministro en los que se utilizaron credenciales de desarrolladores robadas para publicar paquetes troyanizados en repositorios públicos.

Trend Micro no ha proporcionado detalles sobre ataques específicos ni ninguna atribución para QLNX, por lo que el volumen de despliegue y los niveles de actividad específicos de este nuevo malware no están claros.

En el momento de la publicación, el implante Quasar Linux es detectado por solo cuatro soluciones de seguridad, que marcan su binario como malicioso. Trend Micro ha proporcionado indicadores de compromiso (IoCs) para ayudar a los defensores a detectar las infecciones de QLNX y protegerse contra ellas.




Fuente:
BleepingComputer