无文件攻击开发者,Linux恶意软件QLNX窃密+Rootkit威胁云环境

一种名为 Quasar Linux（简称 QLNX）的新型 Linux 恶意软件，正以罕见的复杂手段针对软件开发者和 DevOps 工程师发起攻击。与大多数依赖磁盘文件的恶意软件不同，QLNX 几乎完全在内存中运行，这使得传统安全工具极难检测。该恶意软件因其攻击目标和窃取能力，引发了严重的安全担忧。

QLNX 以单一自包含二进制文件的形式出现，但其行为远非常规。执行后，它会将有效载荷转移到内存中，不在文件系统中留下痕迹，随后植入操作系统，窃取 SSH 密钥、云凭证、软件包注册表令牌和浏览器存储的密码。受感染的开发者工作站不仅是单一的被控设备，更成为入侵源代码仓库、构建流水线和云环境的跳板。

Part01

高度自适应的攻击技术

GuardSix 安全团队发现了该恶意软件，并指出其最初由 TrendMicro 研究人员发现。QLNX 围绕一个包含 58 个命令的远程访问框架构建，专门设计用于绕过传统 Linux 终端防御措施。主要攻击目标为运行 Debian、Ubuntu、RHEL、Fedora 和 Arch 系统的开发及 CI/CD 构建主机。

QLNX 的独特之处在于其适应能力——它不携带预构建组件，而是嵌入原始 C 源代码，利用目标机器的编译器在运行时构建定制 rootkit。由于生成的文件对每台主机都是唯一的，静态特征检测会失效，恶意软件得以伪装成正常活动。

Part02

精心设计的感染链

QLNX 的感染链包含六个精心设计的阶段，以避免留下证据。启动时，它创建仅存在于内存中的文件，写入真实有效载荷并执行，随后从磁盘删除原始文件。运行中的进程在文件系统中没有关联文件，基于磁盘的杀毒软件无从扫描。

为躲避关注，QLNX 会重写自身的进程名称，模仿合法的内核工作线程，如 [kworker/0:0] 或 [migration/0]。真正的内核线程不应维持用户空间网络连接，也不应拥有常规的用户空间父进程，但大多数常规系统检查会完全忽略这种伪装。

Part03

深度系统植入技术

Part04

修复与缓解措施

GuardSix 明确指出，标准清理措施远远不够。唯一完全可靠的修复方法是使用经过验证的干净镜像进行全盘擦除和操作系统重装，因为部分清理会残留风险——除非在内核级别完全移除，否则 eBPF rootkit 可能存活。

对于无法立即重装系统的团队，GuardSix 建议立即将所有可疑主机与网络隔离，因为逐个移除会允许存活的网状节点重新感染已清理的对等设备。同时，移除已知持久化文件、清除预加载库配置以及收集加密凭证日志进行取证审查都至关重要。

在预防方面，限制不需要C编译器的系统可阻止QLNX构建其rootkit。隔离开发者工作站可破坏点对点网状网络。组织应密切监控低级系统配置文件，并在确认检测后全企业范围轮换所有凭证。

Part05

入侵指标(IoCs)

注： IP地址和域名已进行无害化处理（如_[.]_），防止意外解析或超链接。仅在MISP、VirusTotal或SIEM等受控威胁情报平台中恢复原始格式。