Kibervédelmi kutatók egy sor trójai npm csomagot azonosítottak, amelyek működő naptár- és „streak” segédprogramoknak álcázzák magukat, valójában azonban egy RedC2 4.0 névre keresztelt, mesterséges intelligenciával (AI) vezérelt Linux implantátumot telepítenek.

„Amikor a modul betöltődik, megkeresi a mellékelt binárist, végrehajthatóvá teszi, majd leválasztott háttérfolyamatként elindítja” – írja a TrendAI, a Trend Micro vállalati cybersecurity üzletága a csütörtökön közzétett jelentésében. „Nincs szükség install hook függvényhívásra; elég egyetlen import bárhol a függőségi gráfban – akár egy közvetett függőség is –, és a kártevő már fut is.”

Az azonosított csomagok listája:

• streak-metrics-math@1.0.0,1.0.1
• kit-map-vim@1.0.0
• streak-map-cache@1.0.0
• streak-map-kit@1.0.0
• map-streak-kit@1.0.0
• streak-cache-map@1.0.0
• streak-calc-metrics@1.0.0
• streak-calc-math@1.0.0
• streak-math-abz@1.0.0
• streak-metricsaz@1.0.0
• streak-math-metrics@1.0.0
• streak-metricazbd@1.0.0
• streak-metricsazb@1.0.0
• streak-kit-map@1.0.0

A csomagok érdekessége, hogy tényleg működnek, és azt nyújtják, amit ígérnek. A dátumkezelő segédeszközök mögé azonban olyan kódot rejtettek, amely Linux hátsó kaput telepít, „natív matematikai gyorsítónak” álcázva magát. A fájl neve csomagonként eltér: math-core.bin, math-calc.bin, calc-math.dat, calc-cache.bin, calc.bin, calc-mapping.bin.

A fájl vagy közvetlenül a „dist/” könyvtárban, vagy a „dist/internal/” alatt található, a tartalma viszont minden esetben ugyanaz: a RedShell Linux beacon a RedC2 4.0-hoz. Ez egy távoli Windows vagy Linux szerverrel kommunikál, és lehetővé teszi a kompromittált gépen a további támadási lépések végrehajtását.

„A terjesztést a csomag belépési pontja, a dist/index.mjs végzi, amely trójai loaderként működik” – mondta Aliakbar Zahravi biztonsági kutató. „Újraexportálja a dátumkezelő segédfüggvényeket, és azonnal elindítja a mellékelt implantátumot, amint a modul betöltődik, install hook és exportált függvény nélkül.”

A RedC2 4.0-et kiberbűnözői fórumokon keresztplatformos eszközként hirdetik Windows, macOS és Linux rendszerekhez. Megfigyelési, hitelesítő adatok ellopására szolgáló, payload betöltő és tömeges műveleteket támogató képességeket kínál. A verziót egy „MarlboroMan” nevű támadó reklámozta a Hack Forums oldalon 2026 júniusának elején, „elkerülésre kihegyezett” command-and-control (C2 vagy C&C) frameworkként jellemezve.

A RedC2 3.0-s verzióját idén januárban árulták, a 2.0-s kiadás pedig 2025 augusztusában jelent meg, ami arra utal, hogy a framework legalább egy éve aktív fejlesztés alatt áll. A RedShell Linux beacon a 4.0-s verzióban jelent meg először.

A C2 framework emellett kifejezetten sok funkciót kínál: támogatja a terminálhoz való hozzáférést, a fájlátvitelt, a lépcsőzetes payload-kézbesítést, az adatgyűjtést, a több beacon egyidejű működését, a hálózat vizualizálását, a gépek közötti alagútépítést, valamint a Beacon Object File-ok (BOF), .NET assembly-k és shellcode memóriából történő futtatását.

RedShell Linux végrehajtási folyamat

A beacon Linux-változata telepítés után interaktív shellt biztosít a „/bin/sh” segítségével, és Linux-specifikus parancsokat tesz elérhetővé a rendszerfelderítéshez, fájlműveletekhez, adatgyűjtéshez (például SSH-kulcsok és böngészőben tárolt hitelesítő adatok), parancsvégrehajtáshoz, perzisztenciához, ELF binárisok memóriából történő futtatásához, SOCKS5 proxyzáshoz és hálózati pivotáláshoz.

Kapcsolatot létesít egy C2 szerverrel is, és regisztrálja a fertőzött rendszert: ehhez alapvető rendszerinformációkat gyűjt, majd „check-in üzenet” formájában elküldi őket. Ezt követően belép egy parancsfeldolgozó ciklusba, amelyben fogadja az operátortól érkező utasításokat, a „/bin/sh” segítségével végrehajtja őket, majd visszaküldi az eredményeket.

A Windows és macOS változat hasonló képességeket kínál: fájlműveleteket, a gép és a hálózat felderítését, felhasználók listázását és adatgyűjtést. A Windows beacon ezen felül tartalmaz User Account Control (UAC) megkerülést, antivírus- és endpoint-felderítésre szolgáló funkciókat, antivírus-manipulációt, memóriából történő futtatást és oldalirányú terjedést, amelyek a macOS verzióból hiányoznak.

Egy Red Offsec néven futó clearnet weboldalon a fenyegetést jelentő szereplő azt állítja: „A Red C2 egy többnyelvű, több operációs rendszert támogató command and control framework, amelyet Windowsra, Linuxra és macOS-re terveztek. A teljes frameworköt úgy építettük fel, hogy a rejtőzködés legyen a központi szempont, és a támadó biztonság területének legújabb fejlesztéseit és technikáit használja.” A terméket 99,99 dollárért árulják.

A Red Offsec felhasználási feltételei kifejezetten tiltják az eszköz használatát „jogosulatlan számítógépes hozzáférésre”, „hackelésre kifejezett engedély nélkül”, illetve „olyan rendszerek visszaélésére, kihasználására vagy megrongálására, amelyek nem a tulajdonodban vannak, vagy amelyek tesztelésére nem rendelkezel felhatalmazással”.

„A Red Offsec olyan eszközöket biztosít, amelyeket red team szakembereknek és olyan felhasználóknak szánunk, akik tisztában vannak a külső támadó jellegű security eszközök használatának jogi és etikai kereteivel” – olvasható a feltételekben.

A RedC2 a vezérlési réteget egy RedC2 EXT nevű parancssoros kiegészítővel, valamint egy nagy nyelvi modellre (LLM) épülő komponenssel, a Red Agenttel bővíti. Utóbbi lehetővé teszi, hogy az operátorok természetes nyelvű parancsokkal irányítsanak összetett utólagos támadási műveleteket, például hálózati felderítést vagy hitelesítő adatok kinyerését.

„A RedC2 egy Red Agent nevű AI-asszisztenssel érkezik, amely egy LLM-alapú parancsvégrehajtási réteg, és a természetes nyelvű szándékot a framework beacon parancsaivá alakítja” – mondta Zahravi. A Red Offsec ezt úgy jellemzi, mint „penetrációs tesztelésre specializált, AI-alapú parancsvégrehajtó rendszert”.

A mostani eredmények rávilágítanak, hogy korábban nem dokumentált, AI-integrált C2 frameworköket terjesztenek rosszindulatú npm csomagokon keresztül, miközben jelentősen csökkentik a belépési küszöböt az ilyen támadásokhoz.

„Amikor a red team műveletekre hangolt modellel dolgozik, az operátor természetes nyelvű utasításokat ad meg, a framework pedig ezeket végrehajtható parancssorozatokká alakítja” – mondta a TrendAI. „Ez az absztrakció lehetővé teszi, hogy különböző tudásszintű operátorok is hatékonyan hajtsanak végre összetett, több lépcsős betöréseket.”

A fejlemény szorosan kapcsolódik egy összehangolt ellátásilánc-támadáshoz, amely három legitim Rust crate-et (arrayref@0.3.10, internment@0.8.7 és append-only-vec@0.1.9) érintett. Ezekbe egy rosszindulatú proc-macro1 függőséget építettek be, amely a Cargo buildek során automatikusan, több platformon futó kártevőt indított el.

A malware úgy készült, hogy felmérje a fertőzött eszközt, listázza a Chromium-alapú böngészőket, tartós jelenlétet alakítson ki, majd az operátorok által vezérelt infrastruktúrával kommunikáljon feladatokért és további kártékony komponensek letöltéséért.

Feltehetően a karbantartó publikálási hitelesítő adatait szerezték meg, és ezekkel töltötték fel a mérgezett verziókat a csomag tárolóba. A bizonyítékok átfedést mutatnak korábbi szoftver-ellátásilánc-támadások infrastruktúrájával, amelyek a Mastra és az Axios ellen irányultak, és amelyeket egyaránt észak-koreai fenyegető szereplőkhöz kötnek.