QLNX wird dateilos direkt aus dem Arbeitsspeicher ausgeführt und tarnt sich als Kernel-Thread, etwa unter Namen wie kworker oder ksoftirqd. Die Schadsoftware kann das befallene System analysieren, um containerisierte Umgebungen zu erkennen, löscht Systemprotokolle zur Verschleierung ihrer Spuren und richtet sich über mindestens sieben verschiedene Methoden dauerhaft ein – darunter systemd, crontab und das Einschleusen von Code in die .bashrc.

Die gesammelten Daten überträgt das Implantat an eine vom Angreifer kontrollierte Infrastruktur. Über empfangene Befehle lassen sich Shell-Kommandos ausführen, Dateien verwalten, Code in Prozesse injizieren, Screenshots anfertigen, Tastatureingaben mitschneiden, SOCKS-Proxys und TCP-Tunnel aufbauen, Beacon Object Files (BOFs) ausführen und sogar ein Peer-to-Peer-Mesh-Netzwerk verwalten. Wie QLNX zugestellt wird, ist laut Trend Micro unklar.

Nach dem ersten Zugriff geht die Schadsoftware in ihre Hauptbetriebsphase über: Eine dauerhafte Schleife versucht fortlaufend, die Verbindung zum Command-and-Control-Server (C2) über rohes TCP, HTTPS und HTTP herzustellen und aufrechtzuerhalten. Insgesamt unterstützt QLNX 58 verschiedene Befehle, die den Betreibern vollständige Kontrolle über den kompromittierten Rechner geben.

Zusätzlich bringt QLNX eine Backdoor mit, die sich als Inline-Hook in das Pluggable Authentication Module (PAM) einklinkt. Sie fängt Klartext-Zugangsdaten während der Authentifizierung ab, protokolliert ausgehende SSH-Sitzungsdaten und übermittelt diese an den C2-Server. Ein zweiter PAM-basierter Logger wird automatisch in jeden dynamisch gelinkten Prozess geladen, um Dienstname, Benutzername und Authentifizierungstoken auszulesen.

Zur Tarnung setzt der Schädling auf eine zweistufige Rootkit-Architektur. Ein Userland-Rootkit nutzt den Mechanismus LD_PRELOAD des dynamischen Linkers, um Artefakte und Prozesse des Implantats zu verbergen. Hinzu kommt eine Komponente auf Kernel-Ebene, die über das eBPF- beziehungsweise BPF-Subsystem auf Anweisung des C2-Servers Prozesse, Dateien und Netzwerk-Ports vor Standardwerkzeugen wie ps, ls und netstat verbirgt.

„Das QLNX-Implantat wurde für langfristige Tarnung und Diebstahl von Zugangsdaten gebaut“, erklärt Trend Micro. Gefährlich mache es nicht eine einzelne Funktion, sondern das Zusammenspiel der Fähigkeiten zu einem geschlossenen Angriffsablauf: ankommen, sich von der Festplatte tilgen, über mehrere redundante Mechanismen bestehen bleiben, sich sowohl im Userspace als auch auf Kernel-Ebene verstecken und schließlich die wichtigsten Zugangsdaten abgreifen.