Linux-malware qlnx: eine neue bedrohung für die cloud und devops-umgebungen
Ein neues Linux-Malware namens QLNX hat sich als bedrohliche Gefahr für Cloud-Infrastrukturen und DevOps-Umgebungen etabliert. Laut Sicherheitsforschern von Trend Micro handelt es sich um ein fortgeschrittenes Remote-Access-Trojan (RAT), das Linux-Systeme infiziert und in eine Peer-to-Peer (P2P)-Struktur integriert.
Qlnx: ein malware mit decentraler architektur
Ein bemerkenswertes Merkmal von QLNX ist seine dezentrale Struktur. Im Gegensatz zu traditionellen Botnets, die von einem zentralen Server aus gesteuert werden, agieren die infizierten Linux-Systeme als Knoten in einer P2P-Infrastruktur. Dadurch kann die Malware weiterlaufen, selbst wenn einige ihrer Komponenten erkannt und neutralisiert werden.
Die Forscher entdeckten, dass QLNX verschiedene Mechanismen einsetzt, um sich im System zu verstecken und zu halten. Dazu gehören fileless-Angriffe, bei denen Teile des Malware-Codes ephemeres in RAM gespeichert werden, um Spuren zu minimieren und den Analyseprozess zu erschweren. Darüber hinaus verwendet QLNX rootkits auf Basis von eBPF, einer legitimen Linux-Kernel-Funktion, um Prozesse und Aktivitäten zu verdeckeln. Zusätzlich manipuliert es das Pluggable Authentication Modules (PAM)-System, um eine Persistenz auch dann zu sichern, wenn anfänglich nur Teile des Malware-Codes entfernt werden.
Die Hauptziele von QLNX sind offenbar Cloud-Infrastrukturen, DevOps-Umgebungen und Supply-Chain-Angriffe auf Software-Entwicklungen. Es sucht nach sensiblen Zugangsdaten wie GitHub-Tokens, AWS-Credentials, Docker-Konfigurationen, Kubernetes-Einstellungen und CI/CD-Pipelines. Durch die Infizierung von solchen Systemen kann sich QLNX zu einem wichtigen Schritt in komplexen Angriffen entwickeln, die die Möglichkeit bieten, Apps zu manipulieren, Unternehmen zu infiltrieren und kritische Infrastrukturen zu kompromittieren.
Die Entdeckung von QLNX unterstreicht die Bedeutung von Linux-Systemen als Angriffsziele moderner Malware. Während Linux lange als weniger anfällig gegenüber Viren und Trojans angesehen wurde, dominiert es heute wichtige Teile der modernen Infrastruktur, was es zu einem attraktiven Ziel für Angreifer macht.