Linux RAT「QLNX」が開発者を標的、npm・GitHub・AWS認証情報を根こそぎ窃取

「自分のノートPCがウィルスに感染すると、ソースコードまで盗まれてしまうの？」
「Linuxは安全だと思っていたけど、本当にそうなの？」

チップス

ボス！うちの開発チームがみんなUbuntu使ってるんでしゅ。
Linuxを狙う新型RATが出たって聞いて、急に不安になってきたでしゅ…

ボス

「QLNX」と呼ばれる新種だな。Trend Microが2026年5月8日に解析結果を公開した。
npm・PyPI・GitHub・AWS・Kubernetes…開発者なら必ず持っているクレデンシャルを根こそぎ抜く設計になっている。

Linux RATは長らくニッチな脅威でしたが、開発者を標的にした「QLNX」の登場で景色が変わりました。
本記事では、QLNXの構造と、開発者・DevOps現場が実装すべき防御策を整理します。

「開発者1人の感染」が、その先のサプライチェーン全体に波及する仕組みを見ていきましょう。

QLNXの全貌：何をして、何を奪うのか

QLNXはWindows向けRATで有名なQuasar系の派生で、ターゲットをLinuxに振り切ったマルウェアです。
Trend Microの分析によれば、感染後にC2(指令サーバ)と通信し、58種類のコマンドを実行可能。
開発者の手元PCやビルドサーバを一度握ると、長期にわたって居座る設計です。

標的になる「開発者の鍵束」

QLNXが特に欲しがるのは、開発作業中に手元に置いてある認証情報です。
下記のような場所を片っ端から探して抜き取り、C2へ送信する仕組みになっています。

チップス

これ、開発者のホームディレクトリ丸ごとさらわれるレベルでしゅね…

ボス

そういう設計だ。しかも7種類の永続化手法(systemd、crontab、.bashrc注入など)で居着く。
削除するつもりが、別の経路で復活する厄介者だな。

サプライチェーン攻撃の起点になる構造と防御策

QLNXがやろうとしているのは、開発者1人を起点にしたサプライチェーン汚染です。
npm/PyPIの公開トークンを得れば、攻撃者は自分が管理する偽更新を「正規アップデート」として全世界に配布できます。

なぜ「個人PC」が最大の弱点になるのか

多くの組織は本番サーバの監視を強化していますが、開発者のローカル端末は手薄なままです。
QLNXはeBPFを使ってカーネルレベルで活動するため、通常のEDRでも見えにくく、ファイルレスでメモリだけで動きます。
「自分のPCには重要なものは無い」という思い込みが最大のリスク要因です。

開発者・DevOpsが実装すべき防御

原則は「長期保管されたシークレットを減らす」「実行環境を分離する」の2点に尽きます。
パッケージ公開やクラウド操作は、専用のCI/CDから一時的なクレデンシャルで動かす運用に寄せましょう。
個人PCには本番権限を残さないルール作りが効きます。

実装したい対策は以下の通りです。

チップス

「Trusted Publishing」って何でしゅか？聞いたことないでしゅ。

ボス

npmやPyPIが提供するOIDC連携の公開機能だ。
長期トークンを発行せずに、CI上で短命トークンを得て公開する仕組み。
キーが盗まれても再利用できないから、QLNX的な攻撃に強い。

詳細はThe Hacker Newsの解析記事を参照してください。

まとめ：開発者環境こそ「最も狙われる本番環境」

クラウド時代の本番権限は、本番サーバではなく開発者のPCに集約されつつあります。
QLNXのようなマルウェアは、その構造変化を狙い撃ちにしてきました。
「個人PCの保護」が、企業全体のサプライチェーン防御に直結します。

チップス

うちの会社、開発者PCには大して対策入れてないでしゅ…これ、まずいでしゅよね。

ボス

「動かすPCより、開発するPCの方が危ない」時代だ。
EDR・MDM・シークレットスキャンを開発者にも展開していけ。

Linux向けEDR導入やトークン運用の見直しには、専門人材の支援があると進めやすくなります。
社内リソースが薄い場合は、セキュリティフリーランスの活用も検討してみてください。