Pesquisadores de cibersegurança descobriram um conjunto de pacotes npm trojanizados que se passam por utilitários funcionais de calendário e de streaks, mas foram projetados para entregar, de forma furtiva, um implant Linux com IA batizado de RedC2 4.0.
"Quando o módulo é carregado, ele localiza o binário empacotado, define a permissão de execução e o inicia como um processo em segundo plano desacoplado", afirmou a TrendAI, unidade de negócios de cibersegurança corporativa da Trend Micro, em relatório publicado na quinta-feira. "Nenhuma chamada de função de gancho de instalação é necessária; uma única importação em qualquer ponto do grafo de dependências, inclusive uma transitiva, basta para executar o payload."
A lista dos pacotes identificados é a seguinte:
[email protected], 1.0.1
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
[email protected]
O mais notável nesses pacotes é que eles funcionam e entregam a funcionalidade prometida. Mas, por trás da aparência de utilitários de data, há código pensado para instalar um backdoor Linux, disfarçando-o como um acelerador matemático nativo. O nome do arquivo varia entre os pacotes: math-core.bin, math-calc.bin, calc-math.dat, calc-cache.bin, calc.bin e calc-mapping.bin.
Ele fica localizado diretamente em "dist/" ou em "dist/internal/", mas o conteúdo é o mesmo: o beacon Linux RedShell, do RedC2 4.0, que se comunica com um servidor remoto Windows ou Linux para viabilizar atividades pós-exploração no sistema comprometido.
"A entrega é feita pelo arquivo de entrada do pacote, dist/index.mjs, que atua como um loader trojan", disse o pesquisador de segurança Aliakbar Zahravi. "Ele reexporta os auxiliares de data e inicia o implant empacotado assim que o módulo é carregado, sem necessidade de gancho de instalação e sem exigir qualquer função exportada."
O RedC2 4.0, divulgado em fóruns de cibercrime como um kit multiplataforma para Windows, macOS e Linux, oferece recursos de vigilância, roubo de credenciais, carregamento de payload e operações em massa. A versão foi anunciada por um threat actor identificado como "MarlboroMan" no Hack Forums, no início de junho de 2026, descrita como um framework de comando e controle, ou C2, "feito para evasão".
A versão 3.0 do RedC2 foi vendida no início de janeiro, enquanto a versão 2.0 foi lançada em agosto de 2025, indicando que o framework está em desenvolvimento ativo há pelo menos um ano. O beacon Linux RedShell foi introduzido na versão 4.0.
O framework de C2 também é robusto em recursos, com suporte a acesso ao terminal, transferência de arquivos, entrega escalonada de payload, coleta de dados, operação com múltiplos beacons, visualização de rede, tunelamento de host para host e execução em memória de arquivos Beacon Object Files, assemblies .NET e shellcode.
Uma vez implantada, a variante Linux do beacon oferece um shell interativo por meio de "/bin/sh" e expõe comandos específicos para Linux, permitindo descoberta do sistema, operações com arquivos, coleta de dados como chaves SSH e credenciais de navegador, execução, persistência, execução em memória de arquivos ELF, proxy SOCKS5 e pivotagem de rede.
Ela também estabelece comunicação com um servidor C2 e registra o sistema infectado ao coletar informações básicas e enviá-las na forma de uma "mensagem de check-in". Em seguida, entra em um ciclo de processamento de comandos, no qual executa as instruções recebidas do operador via "/bin/sh" e devolve os resultados.
Os equivalentes para Windows e macOS cobrem uma base semelhante, permitindo operações com arquivos, reconhecimento de host e rede, enumeração de usuários e coleta de dados. O beacon para Windows também incorpora bypass do User Account Control, desativação e alteração de antivírus e ferramentas de detecção de endpoint, execução em memória e movimentação lateral, recursos ausentes na versão para macOS.
Em um site de acesso público com a marca Red Offsec, o threat actor afirma: "Red C2 é um framework de comando e controle multilíngue e multissistema operacional, projetado para Windows, Linux e macOS. Todo o framework foi construído com a evasão como princípio central, usando os avanços e técnicas mais recentes da segurança ofensiva." O produto é vendido por US$ 99,99.
Os Termos de Serviço da Red Offsec proíbem expressamente que clientes usem a ferramenta para "acesso não autorizado a computadores", "hacking sem permissão explícita" e "abuso, exploração ou dano a sistemas que você não possui ou não está autorizado a testar".
"A Red Offsec fornece ferramentas destinadas a profissionais de red team e a usuários que entendem ferramentas externas de segurança ofensiva dentro de limites legais e éticos", diz o texto.
O RedC2 amplia sua camada de controle com uma extensão de linha de comando chamada RedC2 EXT e com um componente baseado em modelo de linguagem de grande porte, ou LLM, chamado Red Agent. Esse módulo permite aos operadores orquestrar tarefas complexas de pós-exploração, como reconhecimento de rede e despejo de credenciais, usando comandos em linguagem natural.
"O RedC2 vem com um assistente de IA chamado Red Agent, uma camada de execução de comandos apoiada por LLM que transforma intenções em linguagem natural em comandos de beacon do framework", afirmou Zahravi. A Red Offsec o descreve como um "sistema de execução de comandos com IA especializado em testes de invasão".
As descobertas reforçam como frameworks de C2 com integração de IA, antes não documentados, estão sendo distribuídos por meio de pacotes npm maliciosos, ao mesmo tempo em que reduzem a barreira de entrada.
"Ao interagir com um modelo ajustado para operações de red team, o operador insere prompts em linguagem natural, e o framework os traduz em sequências de comandos acionáveis", afirmou a TrendAI. "Essa abstração permite que operadores com diferentes níveis de habilidade executem intrusões complexas e em várias etapas com eficiência."
O caso surge pouco depois de um ataque coordenado à supply chain, que afetou três crates legítimos do Rust, [email protected], [email protected] e [email protected], comprometidos por uma dependência maliciosa de proc-macro1 que executava malware multiplataforma automaticamente durante compilações com Cargo.
O malware foi desenvolvido para traçar o perfil do dispositivo infectado, catalogar navegadores baseados em Chromium, estabelecer persistência e fazer beacon para infraestrutura controlada pelo atacante, a fim de receber tarefas e baixar payloads adicionais.
A suspeita é de que as credenciais de publicação do mantenedor tenham sido comprometidas para empurrar as versões envenenadas ao repositório de pacotes. As evidências apontam para sobreposição de infraestrutura com ataques anteriores à supply chain de software contra Mastra e Axios, ambos ligados a threat actors norte-coreanos.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...