14 троянизированных npm-пакетов распространяют бэкдор RedC2 4.0 для Linux
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
Исследователи Trend Micro выявили 14 троянизированных npm-пакетов, доставляющих бэкдор RedC2 4.0 для Linux. Пакеты маскируются под утилиты для работы с календарём и сериями и запускают имплант при импорте без установочного хука. RedC2 4.0 рекламировался на Hack Forums в июне 2026 года злоумышленником под псевдонимом MarlboroMan.
Ключевые факты
- Выявлено 14 троянизированных npm-пакетов, включая [email protected] и [email protected].
- Пакеты доставляют бэкдор для Linux под названием RedShell, который является маяком для RedC2 4.0.
- RedC2 4.0 рекламировался на Hack Forums в начале июня 2026 года злоумышленником под псевдонимом MarlboroMan.
- Маяк RedShell для Linux был представлен в версии 4.0 RedC2.
Доставка троянизированных пакетов
Пакеты функциональны и предоставляют заявленные утилиты для работы с календарём и сериями. Под этой функциональностью скрыт код, который доставляет бэкдор для Linux, замаскированный под нативный математический ускоритель. Имя файла варьируется в разных пакетах: math-core.bin, math-calc.bin, calc-math.dat, calc-cache.bin, calc.bin, calc-mapping.bin. Файл находится либо непосредственно в каталоге dist/, либо в dist/internal/. Входной файл пакета dist/index.mjs действует как троянский загрузчик, реэкспортируя помощники для работы с датами и запуская встроенный имплант сразу после загрузки модуля.
Возможности RedC2 4.0
RedC2 4.0 продаётся на киберпреступных форумах как кроссплатформенный инструментарий для Windows, macOS и Linux. Фреймворк поддерживает доступ к терминалу, передачу файлов, поэтапную доставку полезной нагрузки, сбор данных, работу с несколькими маяками, визуализацию сети, туннелирование между хостами и выполнение в памяти Beacon Object Files, сборок .NET и шелл-кода. Версия 3.0 RedC2 продавалась в январе 2026 года, а версия 2.0 была выпущена в августе 2025 года. Маяк RedShell для Linux был представлен в версии 4.0.
1 источник
14 троянизированных npm-пакетов распространяют бэкдор RedC2 4.0 для Linux
