14 Trojaanse npm-pakketten droppen RedC2 4.0 Linux Backdoor met AI-ondersteunde C2

Cybersecurity-onderzoekers hebben een reeks getrojaniseerde npm-pakketten ontdekt die zich voordoen als werkende kalender- en streak-hulpprogramma’s, maar die zijn ontworpen om heimelijk een door kunstmatige intelligentie (AI) aangedreven Linux-implantaat af te leveren, genaamd RedC2 4.0.

“Wanneer de module wordt geladen, lokaliseert hij het gebundelde binaire bestand, markeert het uitvoerbaar bestand en lanceert het als een losstaand achtergrondproces”, zegt TrendAI, het cybersecuritybedrijf van Trend Micro, in een donderdag gepubliceerd rapport. “Er is geen aanroep van de install hook-functie nodig; een enkele import ergens in de afhankelijkheidsgrafiek, zelfs een transitieve, is voldoende om de payload uit te voeren.”

De lijst met geïdentificeerde pakketten vindt u hieronder:

Wat opvalt aan deze pakketten is dat ze functioneel zijn en de beloofde functionaliteit bieden. Maar onder dat gewaad van datumhulpprogramma’s zit code die is ontworpen om een Linux-achterdeur te laten vallen door deze te framen als een native wiskundeversneller. De naam van het bestand varieert per pakket: math-core.bin, math-calc.bin, calc-math.dat, calc-cache.bin, calc.bin, calc-mapping.bin.

Het bevindt zich direct binnen “dist/” of onder “dist/internal/”, maar wat het bevat is hetzelfde: het RedShell Linux-baken voor RedC2 4.0 dat communiceert met een externe Windows- of Linux-server om post-exploitatieactiviteiten op de getroffen host te vergemakkelijken.

“De levering wordt afgehandeld door het pakketinvoerbestand dist/index.mjs, dat fungeert als een trojan-lader”, aldus beveiligingsonderzoeker Aliakbar Zahravi. “Het exporteert de datumhulpen opnieuw en start het gebundelde implantaat zodra de module wordt geladen, zonder installatiehaak en zonder dat er een exportfunctie vereist is.”

RedC2 4.0, op de markt gebracht op cybercriminaliteitsforums als een platformonafhankelijke toolkit voor Windows, macOS en Linux, biedt mogelijkheden voor surveillance, diefstal van inloggegevens, het laden van payloads en grootschalige operaties. De versie werd begin juni 2026 geadverteerd door een bedreigingsacteur genaamd “MarlboroMan” op Hack Forums en beschreef het als een command-and-control (C2 of C&C) raamwerk “gebouwd voor ontwijking”.

Versie 3.0 van RedC2 werd eerder in januari verkocht, terwijl versie 2.0 in augustus 2025 werd uitgebracht, wat aangeeft dat het raamwerk al minstens een jaar actief wordt ontwikkeld. Het RedShell Linux-baken werd geïntroduceerd in versie 4.0.

Het C2-framework is ook rijk aan functies en ondersteunt terminaltoegang, bestandsoverdracht, gefaseerde levering van payloads, gegevensverzameling, multi-beacon-operatie, netwerkvisualisatie, host-to-host-tunneling en in-memory uitvoering van Beacon Object Files (BOF’s), .NET-assemblies en shellcode.

De Linux-variant van het baken biedt, zodra deze is geïmplementeerd, een interactieve shell via “/bin/sh” en stelt Linux-specifieke opdrachten beschikbaar om systeemdetectie, bestandsbewerkingen, gegevensverzameling (bijv. SSH-sleutels en browserreferenties), uitvoering, persistentie, ELF-uitvoering in het geheugen, SOCKS5-proxying en netwerkdraaipunten mogelijk te maken.

Het brengt ook communicatie tot stand met een C2-server en registreert het geïnfecteerde systeem door basissysteeminformatie te verzamelen en deze te verzenden in de vorm van een ‘check-in-bericht’, waarna het een commandoverwerkingslus binnengaat om binnenkomende instructies van de operator te verwerken, deze uit te voeren via ‘/bin/sh’ en de resultaten terug te sturen.

De Windows- en macOS-tegenhangers bestrijken een vergelijkbaar terrein, waardoor bestandsbewerkingen, host- en netwerkverkenning, gebruikersopsomming en gegevensverzameling mogelijk zijn. Het Windows-baken omvat ook het omzeilen van gebruikersaccountbeheer (UAC), antivirus- en eindpuntdetectie, geknoei met antivirusprogramma’s, uitvoering in het geheugen en zijdelingse verplaatsing die de macOS-versie mist.

Op een clearnet-website met de naam Red Offsec beweert de bedreigingsacteur: “Red C2 is een meertalig, multi-OS commando- en controleframework ontworpen voor Windows, Linux en macOS. Het hele raamwerk is gebouwd met ontwijking als kernprincipe, waarbij gebruik wordt gemaakt van de nieuwste ontwikkelingen en technieken op het gebied van offensieve beveiliging.” Het is te koop voor $ 99,99.

De Servicevoorwaarden van Red Offsec verbieden haar klanten uitdrukkelijk om de tool te gebruiken voor “ongeoorloofde computertoegang”, “hacken zonder expliciete toestemming” en “misbruik, exploitatie of schade aan systemen waarvan u niet de eigenaar bent of die u niet mag testen”.

“Red Offsec biedt tools die bedoeld zijn voor Red Team-professionals en gebruikers die externe offensieve beveiligingstools begrijpen binnen wettelijke en ethische grenzen”, aldus de voorwaarden.

RedC2 breidt zijn controlelaag uit met een opdrachtregelextensie die RedC2 EXT wordt genoemd, evenals een door een groot taalmodel (LLM) aangedreven component genaamd Red Agent, waarvan de laatste operators in staat stelt complexe post-exploitatietaken te orkestreren, zoals netwerkverkenning en credential dumping, met behulp van natuurlijke taalopdrachten.

“RedC2 wordt geleverd met een AI-assistent genaamd Red Agent, een door LLM ondersteunde opdrachtuitvoeringslaag die de intentie van natuurlijke taal omzet in raamwerkbakenopdrachten”, zei Zahravi. Red Offsec heeft het gekarakteriseerd als een “AI-aangedreven commando-uitvoeringssysteem gespecialiseerd in penetratietesten.”

De bevindingen onderstrepen hoe voorheen ongedocumenteerde AI-geïntegreerde C2-frameworks worden verspreid via kwaadaardige npm-pakketten, terwijl ze tegelijkertijd de toegangsdrempel verlagen.

“Door interactie met een model dat is afgestemd op red-team-operaties, voert een operator aanwijzingen in natuurlijke taal in, en het raamwerk vertaalt deze in bruikbare commandoreeksen”, aldus TrendAI. “Dankzij deze abstractie kunnen operators met verschillende vaardigheidsniveaus complexe inbraken in meerdere fasen efficiënt uitvoeren.”

De ontwikkeling komt dicht op de hielen van een gecoördineerde supply chain-aanval die drie legitieme Rust-kratten treft ([email protected], [email protected] en [email protected]), waardoor ze worden gecompromitteerd met een kwaadaardige proc-macro1-afhankelijkheid die automatisch platformonafhankelijke malware uitvoert tijdens Cargo-builds.

De malware is ontworpen om het geïnfecteerde apparaat te profileren, Chromium-gebaseerde browsers te catalogiseren, persistentie tot stand te brengen en een door de aanvaller gecontroleerde infrastructuur te vormen voor het uitvoeren van taken en het downloaden van extra payloads.

Er wordt vermoed dat de publicatiegegevens van de beheerder zijn gecompromitteerd om de vergiftigde versies naar de pakketrepository te pushen. Er zijn aanwijzingen dat de infrastructuur overlapt met eerdere software-supply chain-aanvallen gericht op Mastra en Axios, die beide verband houden met Noord-Koreaanse dreigingsactoren.