Linux-руткит для разработчиков: Quasar крадёт ключи и токены

Linux-руткит для разработчиков: Quasar крадёт ключи и токены

Linux-руткит для разработчиков: Quasar крадёт ключи и токены

Исследователи из Trend Micro обнаружили ранее неизвестный Linux-вредонос Quasar Linux (QLNX). По словам экспертов, зловред нацелен на системы разработчиков и DevOps-среды, а также сочетает в себе функции руткита, бэкдора и способен перехватывать учётные данные.

Главная опасность QLNX в том, что он бьёт не просто по отдельным рабочим станциям, а по окружениям, где живут ключи, токены и доступы к инфраструктуре разработки.

Операторов интересуют npm, PyPI, GitHub, AWS, Docker и Kubernetes, что может открыть прямой путь к атакам на цепочки поставок софта.

По данным Trend Micro, после попадания в систему QLNX старается закрепиться максимально незаметно. Он работает в памяти, удаляет исходный бинарный файл с диска, чистит логи, подменяет имена процессов и убирает следы из переменных окружения, которые могли бы помочь при расследовании.

 

Для устойчивости имплант использует сразу несколько механизмов закрепления: LD_PRELOAD, systemd, crontab, init.d-скрипты, XDG autostart и внедрение в .bashrc. Если один способ не сработает или процесс завершат, у вредоносной программы остаются другие варианты вернуться.

Отдельно исследователи выделяют руткит-составляющую QLNX. Она работает на двух уровнях: через userland LD_PRELOAD и через eBPF-компонент на уровне ядра. Это позволяет скрывать процессы, файлы, сетевые порты и другие следы активности. Причём часть компонентов QLNX динамически компилирует прямо на заражённой машине с помощью gcc.

 

Функциональность у вредоноса внушительная. Он может открывать удалённую оболочку, управлять файлами и процессами, перехватывать учётные данные, собирать SSH-ключи, данные браузеров, облачные и developer-конфиги, содержимое /etc/shadow и буфера обмена. Есть также кейлоггер, снятие скриншотов, мониторинг файловой системы, SOCKS-прокси, TCP-туннелирование, сканирование портов и инструменты для перемещения по сети через SSH.

Trend Micro пока не раскрывает данные о конкретных атаках и не связывает QLNX с определённой группировкой. Масштаб распространения тоже остаётся неясным. На момент публикации зловред детектировали только четыре защитных продукты, поэтому риск незаметного присутствия в инфраструктуре выглядит вполне реальным.

В Петербурге две вебкамщицы получили сроки за видео с паспортом

В Санкт-Петербурге суд вынес приговор двум девушкам, занимавшимся созданием треш-контента и вебкам-деятельностью. Их признали виновными по статьям о реабилитации нацизма и надругательстве над государственными символами.

Как сообщили в объединённой пресс-службе судов города, инцидент произошёл в мае 2025 года возле станции метро «Площадь Александра Невского».

По версии следствия, одна из девушек, находясь в состоянии алкогольного опьянения, сняла видео, в котором совершила непристойные действия со своим российским паспортом, сопровождая происходящее нецензурной бранью.

Вторая участница выступила оператором. Следствие установило, что именно она организовала съёмку на мобильный телефон, а затем опубликовала ролик в интернете. В материалах суда отмечается, что девушка имела опыт создания треш-контента и администрировала соответствующий канал в мессенджере.

Кроме того, суд установил, что для записи ролика одна из осуждённых обнажила нижнюю часть тела на фоне плаката с изображением георгиевской ленты и монумента «Родина-мать зовёт!».

Обеих признали виновными по ч. 4 ст. 354.1 УК РФ («Реабилитация нацизма») и ст. 329 УК РФ («Надругательство над Государственным гербом Российской Федерации или Государственным флагом Российской Федерации»).

Суд назначил каждой по два года лишения свободы с отбыванием наказания в колонии-поселении. Помимо этого, девушкам запрещено в течение трёх лет заниматься администрированием сайтов и интернет-ресурсов.

Дело стало ещё одним примером того, что попытки набрать просмотры за счёт провокационного контента могут закончиться не вирусными роликами, а вполне реальным уголовным сроком.

RSS: Новости на портале Anti-Malware.ru