Das Implantat QLNX ist kein einzelnes Schadprogramm, sondern ein vollständiges Angriffswerkzeug, das aus mehreren funktionalen Bausteinen für jeweils spezifische Aufgaben besteht. Nach dem ersten Zugriff auf ein System richtet es einen dateilosen Brückenkopf ein, installiert Mechanismen zur Persistenz und Tarnung und sammelt anschließend Zugangsdaten von Entwicklern sowie für Cloud-Dienste.
Laut der Analyse von Trend Micro kompiliert QLNX seine Komponenten dynamisch direkt auf dem Zielsystem: Die Rootkit-Shared-Objects und die PAM-Backdoor-Module werden mithilfe des Compilers gcc (GNU Compiler Collection) auf dem befallenen Host erzeugt.
Für die dauerhafte Verankerung im System nutzt die Schadsoftware sieben verschiedene Persistenzmechanismen, darunter LD_PRELOAD, systemd, crontab, init.d-Skripte, XDG-Autostart und das Einschleusen von Code in die Datei „.bashrc". Auf diese Weise wird das Implantat in jeden dynamisch gelinkten Prozess geladen und startet selbst dann neu, wenn es beendet wird.
Die Stoßrichtung des Angriffs liegt auf den Arbeitsplätzen von Entwicklern. Über diese können Angreifer die Sicherheitsvorkehrungen eines Unternehmens umgehen und an die Zugangsdaten gelangen, die den Pipelines zur Softwareauslieferung zugrunde liegen. Trend Micro verweist auf jüngste Vorfälle in Lieferketten, bei denen gestohlene Entwickler-Zugangsdaten genutzt wurden, um mit Schadcode versehene Pakete in öffentliche Repositories einzuschleusen.
Zu konkreten Angriffen oder einer Zuordnung der Urheber macht Trend Micro keine Angaben. Damit bleibt offen, in welchem Umfang QLNX bereits verbreitet ist und wie aktiv die dahinterstehenden Akteure vorgehen.
Zum Zeitpunkt der Veröffentlichung erkennen nur vier Sicherheitslösungen die Binärdatei des Quasar-Linux-Implantats als bösartig. Zur Unterstützung der Verteidiger hat Trend Micro Indikatoren für eine Kompromittierung (IoCs) veröffentlicht, die beim Aufspüren und Abwehren von QLNX-Infektionen helfen sollen.