Quasar Linux RAT el malware que roba credenciales de desarrolladores y pone en riesgo la cadena de suministro de software

Trend Micro ha detallado un implante para Linux que apunta específicamente a entornos de desarrollo y operaciones, bautizado como Quasar Linux RAT (QLNX); su diseño combina robo sistemático de credenciales con técnicas de ocultación avanzadas, lo que lo convierte en una amenaza especialmente peligrosa para la cadena de suministro del software.

A diferencia de muchas piezas de malware generales, QLNX se centra en extraer secretos que suelen residir en máquinas de desarrolladores y pipelines: tokens de NPM y PyPI, credenciales de Git y cloud, ficheros .env y configuraciones de Kubernetes y Docker, entre otros. La obtención de cualquiera de esos elementos permite a un atacante publicar paquetes maliciosos, tomar control de infraestructura en la nube o moverse lateralmente a través de CI/CD, con potencial de causar un “efecto dominó” en proyectos y dependencias.

Lo que hace particularmente inquietante a QLNX es su combinación de técnicas: ejecución fileless desde memoria, camuflaje como hilos de kernel (por ejemplo kworker), y una arquitectura de persistencia redundante (systemd, crontab, modificaciones en .bashrc y otras). Además emplea dos niveles de rootkit —un rootkit en espacio de usuario mediante LD_PRELOAD y un componente en kernel que usa eBPF para ocultar procesos, ficheros y puertos—, y un backdoor que intercepta credenciales en procesos de autenticación PAM. Esa mezcla permite permanecer silencioso durante largos periodos y capturar credenciales en claro justo cuando el usuario se autentica.

Desde el punto de vista operativo, QLNX soporta docenas de comandos remotos para gestionar ficheros, inyectar código, tomar pantallazos, registrar teclas y establecer túneles TCP/SOCKS, lo que lo convierte en una herramienta completa para control remoto y exfiltración. También puede cargar módulos en cada proceso dinámicamente enlazado para capturar tokens, y mantiene comunicación persistente con su infraestructura de mando y control por TCP, HTTPS y HTTP.

Las implicaciones para desarrolladores, mantenedores de paquetes y equipos de seguridad son claras: una máquina comprometida no solo pone en riesgo el código local, sino que puede contaminar repositorios públicos y pipelines automatizados. Un atacante con permisos de publicación en NPM o PyPI puede introducir versiones maliciosas que se propagan a multitud de proyectos y usuarios.

Para mitigar el riesgo inmediato, es imprescindible proteger los secretos y asumir que cualquier estación de trabajo puede ser objetivo. Entre las medidas prácticas están rotar y revocar tokens potencialmente expuestos, mover credenciales a vaults gestionados (secret managers) con acceso temporal y limitado, y reemplazar tokens de larga duración por mecanismos de identidad federada para CI (por ejemplo OIDC) que evitan almacenar secretos en ficheros locales.

Desde el punto de vista de detección y respuesta, conviene revisar artefactos y comportamientos que QLNX abusa: verificar variables LD_PRELOAD y módulos PAM sospechosos, auditar entradas inusuales en systemd y cron, comprobar la presencia de hilos/procesos que imitan al kernel, y monitorizar uso de eBPF o mapas BPF que no estén justificados por herramientas legítimas. Las soluciones EDR modernas y el monitoreo de integridad pueden ayudar, pero también es necesario aislar agentes de build y usar entornos efímeros para minimizar la posibilidad de persistencia y robo de credenciales.

La estrategia a medio plazo debe centrarse en reducir la exposición de la cadena de suministro: exigir firma de paquetes, habilitar procesos de revisión de dependencias, implementar builds reproducibles y aplicar controles de acceso mínimos en los pipelines. Para organizaciones críticas, la respuesta ante un incidente de este tipo puede requerir rehacer agentes de build y estaciones comprometidas desde medios confiables, y realizar una investigación forense que incluya captura de memoria para detectar ejecuciones fileless.

QLNX pone de manifiesto dos tendencias que debemos abordar con prioridad: por un lado, la explotación de credenciales almacenadas en entornos de desarrollo; por otro, el uso de tecnologías legítimas (LD_PRELOAD, eBPF, PAM) como vectores de ocultación. Para profundizar en cómo funciona eBPF y por qué su abuso complica la detección, puede consultarse la documentación y recursos en ebpf.io. Para entender las técnicas de robo de credenciales y los patrones de ataque que los equipos defensores deben vigilar, la matriz ATT&CK de MITRE es un recurso útil: https://attack.mitre.org/techniques/T1552/.

En resumen, QLNX no es sólo otro malware para Linux: es un recordatorio de que los desarrolladores y sus máquinas forman parte del perímetro de seguridad. La combinación de controles técnicos, buenas prácticas en gestión de secretos y procesos de hardening en CI/CD es la única forma realista de limitar el alcance de amenazas que buscan precisamente nuestros tokens y pipelines para propagarse.