Se ha detectado Quasar Linux RAT (QLNX), un malware avanzado que ataca a desarrolladores y DevOps para robar credenciales críticas de la cadena de suministro de software. El implante opera de forma sigilosa en memoria, utiliza rootkits a nivel de usuario y kernel para ocultarse y puede manipular archivos, registrar teclas y crear túneles de red. Su objetivo principal es obtener acceso a infraestructuras en la nube y pipelines de CI/CD para desplegar paquetes maliciosos.



Un implante de Linux previamente no documentado, cuyo nombre en código es Quasar Linux RAT (QLNX), está atacando los sistemas de desarrolladores para establecer una presencia silenciosa y facilitar una amplia gama de funcionalidades post-compromiso, como la recolección de credenciales, keylogging, manipulación de archivos, monitoreo del portapapeles y tunelización de red.

"QLNX se dirige a las credenciales de desarrolladores y DevOps en toda la cadena de suministro de software", afirmaron los investigadores de Trend Micro, Aliakbar Zahravi y Ahmed Mohamed Ibrahim, en un análisis técnico del malware.

"Su recolector de credenciales extrae secretos de archivos de alto valor como .npmrc (tokens de npm), .pypirc (credenciales de PyPI), .git-credentials, .aws/credentials, .kube/config, .docker/config.json, .vault-token, credenciales de Terraform, tokens de GitHub CLI y archivos .env. El compromiso de estos activos podría permitir al operador enviar paquetes maliciosos a los registros de NPM o PyPI, acceder a la infraestructura en la nube o pivotar a través de los canales de CI/CD".

La capacidad del malware para recolectar sistemáticamente una amplia gama de credenciales representa un riesgo grave para los entornos de desarrollo. Un actor de amenazas que despliegue con éxito QLNX contra un mantenedor de paquetes obtiene acceso no autorizado a su flujo de publicación, permitiendo al atacante enviar versiones envenenadas que pueden provocar impactos en cascada.

QLNX se ejecuta sin archivos desde la memoria, se hace pasar por un hilo del kernel (por ejemplo, kworker o ksoftirqd) y es capaz de analizar el host para detectar entornos contenedorizados, borrar los registros del sistema para cubrir sus huellas y establecer persistencia utilizando no menos de siete métodos diferentes, incluidos systemd, crontab e inyección de shell en .bashrc.

Además, exfiltra los datos recolectados a una infraestructura controlada por el atacante y recibe comandos que hacen posible ejecutar comandos de shell, gestionar archivos, inyectar código en procesos, tomar capturas de pantalla, registrar pulsaciones de teclado, establecer proxies SOCKS y túneles TCP, ejecutar Beacon Object Files (BOFs) e incluso gestionar una red malla peer-to-peer (P2P).

No está claro exactamente cómo se entrega el malware. Sin embargo, una vez establecida la presencia, entra en una fase operativa primaria ejecutando un bucle persistente que intenta continuamente establecer y mantener la comunicación con el servidor de comando y control (C2) a través de TCP puro, HTTPS y HTTP. En total, QLNX admite 58 comandos distintos que otorgan a los operadores el control total del host comprometido.

QLNX también incluye un backdoor de hook en línea de Módulo de Autenticación Enchufable (PAM) que intercepta credenciales en texto plano durante los eventos de autenticación, registra los datos de las sesiones SSH salientes y transmite la información al servidor C2. El malware también admite un segundo registrador de credenciales basado en PAM que se carga automáticamente en cada proceso vinculado dinámicamente para extraer el nombre del servicio, el nombre de usuario y el token de autenticación.

Emplea una arquitectura de rootkit de dos niveles: un rootkit de userland desplegado a través del mecanismo LD_PRELOAD del enlazador dinámico de Linux para asegurar que los artefactos y procesos del implante permanezcan ocultos. También existe un componente eBPF a nivel de kernel que utiliza el subsistema BPF para ocultar procesos, archivos y puertos de red de las herramientas estándar de userland como ps, ls y netstat al recibir instrucciones del servidor C2.

"El implante QLNX fue creado para el sigilo a largo plazo y el robo de credenciales", afirmó Trend Micro. "Lo que lo hace particularmente peligroso no es ninguna característica aislada, sino cómo sus capacidades se encadenan en un flujo de ataque coherente: llegar, borrarse del disco, persistir a través de seis mecanismos redundantes, ocultarse tanto a nivel de usuario como de kernel y, finalmente, recolectar las credenciales que más importan".

Fuente:
THN