Linux-руткит для разработчиков: Quasar крадёт ключи и токены

Linux-руткит для разработчиков: Quasar крадёт ключи и токены

Linux-руткит для разработчиков: Quasar крадёт ключи и токены

Исследователи из Trend Micro обнаружили ранее неизвестный Linux-вредонос Quasar Linux (QLNX). По словам экспертов, зловред нацелен на системы разработчиков и DevOps-среды, а также сочетает в себе функции руткита, бэкдора и способен перехватывать учётные данные.

Главная опасность QLNX в том, что он бьёт не просто по отдельным рабочим станциям, а по окружениям, где живут ключи, токены и доступы к инфраструктуре разработки.

Операторов интересуют npm, PyPI, GitHub, AWS, Docker и Kubernetes, что может открыть прямой путь к атакам на цепочки поставок софта.

По данным Trend Micro, после попадания в систему QLNX старается закрепиться максимально незаметно. Он работает в памяти, удаляет исходный бинарный файл с диска, чистит логи, подменяет имена процессов и убирает следы из переменных окружения, которые могли бы помочь при расследовании.

 

Для устойчивости имплант использует сразу несколько механизмов закрепления: LD_PRELOAD, systemd, crontab, init.d-скрипты, XDG autostart и внедрение в .bashrc. Если один способ не сработает или процесс завершат, у вредоносной программы остаются другие варианты вернуться.

Отдельно исследователи выделяют руткит-составляющую QLNX. Она работает на двух уровнях: через userland LD_PRELOAD и через eBPF-компонент на уровне ядра. Это позволяет скрывать процессы, файлы, сетевые порты и другие следы активности. Причём часть компонентов QLNX динамически компилирует прямо на заражённой машине с помощью gcc.

 

Функциональность у вредоноса внушительная. Он может открывать удалённую оболочку, управлять файлами и процессами, перехватывать учётные данные, собирать SSH-ключи, данные браузеров, облачные и developer-конфиги, содержимое /etc/shadow и буфера обмена. Есть также кейлоггер, снятие скриншотов, мониторинг файловой системы, SOCKS-прокси, TCP-туннелирование, сканирование портов и инструменты для перемещения по сети через SSH.

Trend Micro пока не раскрывает данные о конкретных атаках и не связывает QLNX с определённой группировкой. Масштаб распространения тоже остаётся неясным. На момент публикации зловред детектировали только четыре защитных продукты, поэтому риск незаметного присутствия в инфраструктуре выглядит вполне реальным.

Из App Store пропали Дзен, VK Video и другие приложения VK

Из российского App Store пропала часть приложений холдинга VK. Как сообщает РБК, сейчас пользователи не могут скачать «Дзен», VK Video, VK Мессенджер, VK Музыку и VK Знакомства. При этом основные социальные сети компании пока остаются доступны.

Приложения «ВКонтакте» и «Одноклассники» по-прежнему можно найти и установить через App Store.

Что стало причиной исчезновения сервисов, пока неизвестно. На момент публикации ни Apple, ни VK официальных комментариев не дали.

Пока также неясно, идет ли речь о временном сбое, технических работах, удалении приложений из российского App Store или о каких-либо других причинах.

Для пользователей, у которых приложения уже установлены на iPhone, ситуация пока не означает автоматическое прекращение их работы. Однако скачать удалённые приложения заново или установить их на новое устройство сейчас невозможно.

Это уже не первый случай, когда приложения российских компаний исчезают из App Store. Ранее Apple неоднократно удаляла из российского каталога банковские приложения, VPN-клиенты и другие сервисы, после чего часть из них возвращалась под новыми названиями или в изменённом виде.

Остаётся ждать официальных разъяснений от Apple или VK, которые должны прояснить, что именно произошло с приложениями.

Update:

Пресс-служба VK предоставила официальный комментарий:

«VK никогда не находилась под санкциями и не фигурировала в санкционных списках, что подтверждают многочисленные заключения международных и американских юристов. Официальные заключения юристов и вся необходимая информация давно находится в распоряжении Apple. 

Тем не менее, Apple без предупреждений в одностороннем порядке удалила приложения VK. Своими действиями Apple ограничивает российских пользователей в доступе к востребованным сервисам, которыми ежедневно пользуются десятки миллионов: соцсетям, мессенджерам, видеоплатформам, электронной почте и образовательным продуктам. Действия Apple приведут к тому, что пользователи не будут получать пуш-уведомления о сообщениях и важных событиях. Считаем данные действия Apple по отношению к российским пользователям ничем не мотивированными и неприемлемыми.

VK продолжает работать в интересах пользователей и предпринимает все необходимые действия для обеспечения комфортного и безопасного доступа к продуктам и сервисам. Все приложения VK, которые были ранее установлены на смартфонах и устройствах Apple, продолжат работать. 

Приложения VK для пользователей Android доступны в полном объеме, включая обновления, уведомления и другие функции, — в RuStore, Google Play, Huawei AppGallery, Samsung Store, Xiaomi Store и на официальных сайтах продуктов».

RSS: Новости на портале Anti-Malware.ru