Mã độc QLNX nhắm mục tiêu lập trình viên Linux, nhắm vào chuỗi cung ứng phần mềm

[WhiteHat Team]

Một chiến dịch tấn công mạng vừa được các chuyên gia an ninh mạng phát hiện đang âm thầm nhắm vào các hệ thống Linux của lập trình viên và kỹ sư DevOps. Loại mã độc này, được đặt tên là Quasar Linux RAT (QLNX), không chỉ có khả năng đánh cắp thông tin đăng nhập mà còn cho phép tin tặc kiểm soát toàn bộ máy tính nạn nhân trong thời gian dài mà rất khó bị phát hiện.
​

​

Theo báo cáo từ các nhà nghiên cứu của Trend Micro, QLNX được thiết kế đặc biệt để tấn công vào chuỗi cung ứng phần mềm, thông tin cloud và dữ liệu triển khai hệ thống. Đây được xem là một trong những hướng tấn công nguy hiểm nhất hiện nay bởi chỉ cần chiếm được tài khoản của một lập trình viên hoặc maintainer, tin tặc có thể phát tán mã độc tới hàng nghìn, thậm chí hàng triệu người dùng phía sau.​

Mã độc QLNX là gì và vì sao giới phát triển phần mềm cần đặc biệt cảnh giác?​

QLNX là một biến thể RAT dành cho Linux, cho phép kẻ tấn công điều khiển máy tính từ xa sau khi xâm nhập thành công. Không giống nhiều loại mã độc thông thường chỉ tập trung vào người dùng cá nhân, QLNX được xây dựng với mục tiêu rất rõ ràng: săn tìm thông tin nhạy cảm trong môi trường phát triển phần mềm và hạ tầng DevOps.

Các chuyên gia cho biết mã độc này có khả năng đánh cắp hàng loạt thông tin quan trọng như token NPM, thông tin đăng nhập PyPI, AWS credentials, Docker config, Kubernetes config, Terraform secrets, GitHub CLI token, Vault token và cả các file .env chứa biến môi trường bí mật. Điều này đồng nghĩa nếu một lập trình viên bị nhiễm mã độc, kẻ tấn công có thể:​

• Đăng tải package độc hại lên NPM hoặc PyPI​
• Chiếm quyền hệ thống cloud doanh nghiệp​
• Xâm nhập pipeline CI/CD​
• Cấy mã độc vào sản phẩm phần mềm chính thức​
• Mở rộng tấn công sang nhiều tổ chức khác​

Trong bối cảnh phần lớn doanh nghiệp công nghệ hiện nay phụ thuộc vào chuỗi cung ứng mã nguồn mở, nguy cơ từ QLNX được đánh giá đặc biệt nghiêm trọng.​

Cơ chế hoạt động của QLNX: “Ẩn mình” như tiến trình hệ thống Linux​

Điểm nguy hiểm của QLNX nằm ở khả năng hoạt động cực kỳ kín đáo. Sau khi xâm nhập vào máy Linux, mã độc gần như không để lại dấu vết trên ổ cứng mà chủ yếu chạy trực tiếp trong bộ nhớ nhằm tránh bị các phần mềm bảo mật phát hiện.

QLNX còn giả mạo các tiến trình nhân Linux quen thuộc như kworker hoặc ksoftirqd để đánh lừa quản trị viên hệ thống. Đây là những tiến trình vốn xuất hiện mặc định trong Linux nên rất khó bị nghi ngờ nếu chỉ quan sát sơ bộ.

Sau khi hoạt động, mã độc sẽ tiến hành kiểm tra môi trường để xác định xem nó có đang chạy trong container hay sandbox phân tích hay không. Đồng thời, nó xóa log hệ thống nhằm che giấu dấu vết xâm nhập.

Đặc biệt, QLNX thiết lập cơ chế bám trụ bằng ít nhất 7 phương pháp khác nhau, bao gồm chỉnh sửa systemd, crontab, .bashrc và nhiều thành phần khởi động khác của Linux. Điều này giúp mã độc có thể tự khởi chạy lại ngay cả khi máy tính bị reboot.​

Đánh cắp thông tin đăng nhập và kiểm soát hệ thống từ xa​

Sau khi cài cắm thành công, QLNX bắt đầu giao tiếp với máy chủ điều khiển (C2) của tin tặc thông qua TCP, HTTP hoặc HTTPS. Từ đây, kẻ tấn công có thể gửi hàng chục lệnh điều khiển khác nhau tới máy nạn nhân. Trend Micro cho biết QLNX hỗ trợ tới 58 lệnh điều khiển riêng biệt, cho phép:​

• Thực thi lệnh shell từ xa​
• Quản lý và chỉnh sửa file​
• Theo dõi clipboard​
• Ghi lại thao tác bàn phím (keylogger)​
• Chụp ảnh màn hình​
• Thiết lập SOCKS proxy và TCP tunnel​
• Tiêm mã độc vào tiến trình khác​
• Thiết lập mạng P2P giữa các máy nhiễm​

Không dừng lại ở đó, mã độc còn tích hợp backdoor PAM (Pluggable Authentication Module) để đánh cắp trực tiếp tên đăng nhập và mật khẩu khi người dùng xác thực SSH hoặc đăng nhập hệ thống Linux.

Điểm đáng sợ là QLNX có thể ghi lại cả thông tin xác thực dạng “plaintext”, nghĩa là dữ liệu chưa mã hóa, rồi gửi thẳng về máy chủ của tin tặc.​

Rootkit hai lớp giúp QLNX gần như “vô hình”​

Một trong những thành phần tinh vi nhất của QLNX là cơ chế rootkit hai lớp nhằm che giấu hoạt động độc hại.

Ở tầng người dùng (userland), mã độc sử dụng kỹ thuật LD_PRELOAD để can thiệp vào quá trình tải thư viện động của Linux, từ đó che giấu file, tiến trình và hoạt động mạng khỏi các công cụ phổ biến như ps, ls hay netstat.

Ở tầng kernel, QLNX còn triển khai thành phần eBPF rootkit - một kỹ thuật tiên tiến cho phép thao túng trực tiếp hệ thống ở mức nhân Linux. Thành phần này giúp mã độc ẩn cổng mạng, tiến trình và nhiều dấu vết khác ngay cả với quản trị viên có kinh nghiệm.

Các chuyên gia nhận định đây là dấu hiệu cho thấy QLNX không phải mã độc thông thường mà có thể được phát triển bởi nhóm tấn công có trình độ kỹ thuật cao.​

Nguy cơ với chuỗi cung ứng phần mềm và doanh nghiệp công nghệ​

Không giống các chiến dịch ransomware nhắm vào mã hóa dữ liệu để đòi tiền chuộc, QLNX tập trung vào đánh cắp quyền truy cập và duy trì hiện diện lâu dài trong hệ thống.

Nếu tin tặc kiểm soát được tài khoản của một maintainer hoặc kỹ sư DevOps, hậu quả có thể lan rộng ra toàn bộ chuỗi cung ứng phần mềm. Một package bị cài cắm mã độc trên NPM hoặc PyPI có thể nhanh chóng được hàng nghìn dự án khác tải về và triển khai.

Điều này từng xảy ra trong nhiều sự cố supply chain nổi tiếng trước đây, nơi chỉ một tài khoản lập trình viên bị xâm nhập đã kéo theo hàng loạt doanh nghiệp và người dùng cuối bị ảnh hưởng.

Theo Trend Micro, điểm nguy hiểm nhất của QLNX không nằm ở một kỹ thuật riêng lẻ mà ở cách các tính năng của nó kết hợp với nhau thành một chuỗi tấn công hoàn chỉnh: xâm nhập, ẩn mình, duy trì hiện diện, đánh cắp thông tin và mở rộng kiểm soát hệ thống.​

Làm thế nào để phòng tránh QLNX?​

Hiện chưa có thông tin chính xác về cách mã độc này được phát tán ban đầu. Tuy nhiên, các chuyên gia an ninh mạng khuyến nghị các tổ chức và lập trình viên Linux cần rà soát toàn bộ môi trường phát triển, đặc biệt là các máy chủ CI/CD và workstation DevOps.

Một số biện pháp quan trọng được khuyến nghị gồm:​

• Kiểm tra các tiến trình Linux bất thường giả mạo kworker, ksoftirqd​
• Rà soát thay đổi trái phép trong systemd, crontab, .bashrc​
• Giám sát truy cập tới các file chứa credentials như .aws, .npmrc, .env​
• Hạn chế lưu plaintext secrets trên máy phát triển​
• Áp dụng xác thực đa yếu tố cho GitHub, cloud và registry package​
• Theo dõi lưu lượng outbound bất thường từ máy Linux​
• Kiểm tra việc sử dụng LD_PRELOAD trái phép​
• Triển khai EDR/XDR có khả năng giám sát Linux và eBPF activity​
• Phân tách môi trường phát triển với hệ thống production​

Ngoài ra, doanh nghiệp nên tăng cường kiểm tra integrity của package nội bộ và triển khai quy trình ký số phần mềm nhằm giảm nguy cơ supply chain attack

Sự xuất hiện của QLNX cho thấy các nhóm tấn công mạng đang ngày càng chuyển hướng sang nhắm mục tiêu trực tiếp vào lập trình viên và chuỗi cung ứng phần mềm thay vì chỉ tập trung vào người dùng cuối.

Trong bối cảnh DevOps, cloud và mã nguồn mở trở thành nền tảng của hầu hết hệ thống công nghệ hiện đại, việc một máy Linux của lập trình viên bị kiểm soát không còn là sự cố cá nhân mà có thể trở thành điểm khởi đầu cho các cuộc tấn công diện rộng. Các chuyên gia cảnh báo rằng những mã độc như QLNX đặc biệt nguy hiểm bởi chúng hoạt động âm thầm, có khả năng ẩn mình sâu trong hệ thống và tập trung đánh cắp các loại thông tin có giá trị chiến lược. Điều này buộc doanh nghiệp phải thay đổi cách tiếp cận bảo mật, coi môi trường phát triển phần mềm là mục tiêu trọng yếu cần được giám sát và bảo vệ nghiêm ngặt như các hệ thống production quan trọng khác.​

Theo The Hacker News​