14 gói npm bị cài trojan phát tán backdoor Linux RedC2 4.0
"Researchers found 14 trojanized npm packages that masquerade as legitimate calendar and streak utilities but execute a bundled Linux implant on import, without requiring install hooks or explicit function calls. The payload drops the RedShell beacon for RedC2 4.0, an AI-assisted cross-platform C2 framework used for post-exploitation, credential theft, persistence, and network pivoting; remediation is to remove the malicious packages and audit dependency trees for the listed package names and embedded binaries."
14 gói npm bị lợi dụng để phát tán backdoor Linux; có thể kích hoạt chỉ bằng import. Rủi ro gồm đánh cắp thông tin xác thực, duy trì truy cập và di chuyển ngang trong môi trường bị ảnh hưởng.
Có thể gây gián đoạn chuỗi cung ứng phần mềm, làm tăng chi phí rà soát phụ thuộc và ứng phó sự cố. Nếu đã triển khai rộng, nguy cơ ảnh hưởng đến nhiều hệ thống và kéo dài thời gian khắc phục.
Các nhà nghiên cứu an ninh đã phát hiện 14 gói npm bị cài trojan, giả mạo các tiện ích lịch và theo dõi thói quen nhưng lại âm thầm triển khai một Linux implant khi được import. Điểm đáng chú ý là mã độc có thể chạy ngay khi module được nạp, không cần install hook hay gọi hàm rõ ràng, nên một phụ thuộc gián tiếp cũng có thể kích hoạt payload.
Nhóm gói bị phát hiện gồm các tên như streak-metrics-math, kit-map-vim, streak-map-cache và các biến thể tương tự. Bên trong, chúng chứa tệp nhị phân như math-core.bin, calc-math.dat hoặc calc.bin, nhưng thực chất là RedShell — beacon Linux của RedC2 4.0. Công cụ này được mô tả là một framework C2 đa nền tảng có khả năng thu thập thông tin, đánh cắp thông tin xác thực, duy trì hiện diện và pivot mạng.
Khuyến nghị kỹ thuật là gỡ bỏ các gói độc hại, rà soát dependency tree để tìm các tên gói nêu trên và kiểm tra các binary nhúng trong thư mục dist/ hoặc dist/internal/. Đội vận hành nên khóa phiên bản phụ thuộc, quét lại lockfile và giám sát các tiến trình lạ được sinh ra từ quá trình import module.