Npm Kampagne installiert RedC2 4.0 beim Import von schädlichen Paketen

Cybersecurity-Forscher haben eine schädliche Paketkampagne im npm-Ökosystem gefunden, die auf den ersten Blick Kalender und Berechnungsprogramme bereitstellen, aber tatsächlich als Fahrzeug dienen, um ein Remote Control Linux-Implantat namens RedC2 4.0 (mit seinem Leuchtfeuer Linux RedShell). Die Entdeckung wurde öffentlich von Trend Micros Forschungsteam verbreitet und bestätigt, dass die Ausführung von Malware einfach durch Importieren des Pakets in eine Kette von Abhängigkeiten, sogar durch Versand.

Konfirmierte Fakten: Trend Micro berichtete, dass ein Dutzend Pakete, die in npm veröffentlicht wurden, einen binären Paket enthalten (mit Namen wie math-chore.bin, calc.bin oder Calp-Mapping. bin befindet sich in dist / oder dist / intern /), die als ausführbar markiert und im Hintergrund freigegeben wird, wenn das Modul geladen ist. Die identifizierten Pakete umfassen unter anderem streak-metrics-math @ 1.0.0, kit-map-vim @ 1.0.0, streak-map-cache @ 1.0.0 und eine vollständige Liste, die von der Forschung informiert wird. Die Eingabedatei, die als troianisches Ladegerät fungiert, ist dist / index.mjs: Es genügt für jedes Modul in der Kette der Abhängigkeiten, dieses Paket für das Implantat zu importieren, ohne dass Installationshaken oder explizite Anrufe in exportierte Funktionen erforderlich sind.

Technisch ist der beschriebene Mechanismus einfach und effektiv in JavaScript / Node-Umgebungen: Das Modul gibt legitime Funktionalitäten (z.B. Datum oder metrische Funktionen) aus, aber in seiner Initialisierung führt es Operationen auf dem enthaltenen binären - Änderungen Berechtigungen (chmod), startet es mit Laich als disassoziierten Prozess und beendet seine eigene Ausführung. Damit erfüllt das Paket seine Funktionsverheißung und geht unbemerkt in Oberflächenrezensionen, während eine ausgehende Verbindung zu einem Befehls- und Steuerserver (C2) zum Empfang von Aufträgen hergestellt wird.

Auf der Nutzlast: Die binäre Bereitstellung ist die Linux-Variante des RedC2-Frameworks in seiner 4.0-Version, die das RedShell-Beacon enthält. Gemäß der technischen Beschreibung, die verbreitet wird, bietet das Implantat eine interaktive Fernbedienung (/ bin / sh), Datenexfiltration (einschließlich SSH-Tasten und Browser-Berechtigungen), ELF- und Shellcode-Speicherausführung, Socks5-Proxy- und Pitting- und Tunneling-Funktionen zwischen Hosts. RedC2 enthält auch Komponenten für Windows und macOS mit ähnlichen Fähigkeiten; die Windows-Version fügt Konto Control evation (UAC Bypass), Techniken, um Antivirus zu stören und erweiterte laterale Bewegung.

Ein besonderes Anliegen der Forscher ist die Integration einer von Sprachmodellen unterstützten Schicht: Red Agent, eine LLM-Komponente, die Anweisungen in natürliche Sprache in Beacon-Befehl und Befehlssequenzen verwandelt. Trend Micro und Forscher Aliakbar Zahravi haben festgestellt, dass diese Abstraktion das technische Know-how reduziert, das für den Betrieb der C2 benötigt wird, wodurch komplexe Intrusionen für weniger erfahrene Betreiber erleichtert werden.

Wer beeinflusst das? Bestätigt: jedes Projekt, das direkt oder indirekt von den aufgeführten Paketen abhängt und das Code in Linux-Umgebungen betreibt - insbesondere Server, Container und kontinuierliche Integrationspipeline, die Einheiten automatisch installieren - Risiken, die das Implantat ausführen. Der Vektor ist gefährlich, weil ein einfacher "Import" oder "Require" in einer aktiven transienten Abhängigkeit des Binärs. Daher sind nicht nur Nutzer, die die schädlichen Pakete von Hand installieren, gefährdet; Repositories, Basisbilder und Produktionsumgebungen, die unfiltrierte Abhängigkeiten aktualisieren oder neu aufbauen, können auch beeinträchtigt werden.

Praktische Konsequenzen: In kompromittierten Systemen können Betreiber interaktive Shells erhalten, Anmeldeinformationen stehlen, zusätzliche Belastungen bereitstellen, sich seitlich bewegen und Beharrlichkeit festigen. Auf der Ebene der Lieferkette ermöglicht der Vektor Malware zu legitimen Projekten zu verbreiten, die diese Abhängigkeiten in Ihrem Baum enthalten. Darüber hinaus kann das Vorhandensein eines integrierten KI-Assistenten den Skalenbetrieb beschleunigen und es schwieriger machen, menschliche Aktivitätsmuster gegen automatisierte zu erkennen.

Das bestätigte vs. der geschätzten: Es wird bestätigt, dass die Pakete eine RedShell binär laufen und dass RedC2 4.0 öffentlich gefördert wurde; die Liste der betroffenen Pakete wurde ebenfalls dokumentiert. Es ist eine Schätzung, obwohl plausibel begründet, dass diese Publikationen eine absichtliche Malware-Vertriebskampagne mit npm-Paketen darstellen. Die Zuschreibung von Akteuren oder Links zu früheren kriminellen Angriffen wird als Verdacht in verwandten Berichten über andere Supply Chain-Kampagnen aufrechterhalten, jedoch wurden keine abschließenden öffentlichen Beweise vorgelegt, um sie endgültig zuzuschreiben.

Konkrete und unmittelbare Maßnahmen von Entwicklern und Managern:

1) sofortige Exposition. In Repositorys und Servern suchen Sie nach der Anwesenheit der spezifischen Buchhandlungen und den Namen der gemeldeten Binaries. Beispiele nützlicher Recherchen: Listenabhängigkeiten mit npm lsstreak-metrics-mathoder Scanknoten _ Module nach Mustern wie "math-chore.bin" oder "dist / index.mjs" (z.B. grep -R "math-chore.bin" Node _ Module /). Überprüfen Sie die Schlösser (package-lock.json / garn.lock) für diese Versionen.

2) Enthalten und beseitigen. Wenn Sie die Anwesenheit der verdächtigen Pakete oder Binaries erkennen, isolieren Sie die Maschine aus dem Netzwerk, bewahren Sie Bilder und Protokolle für forensische Analyse und entfernen Sie die Pakete aus den betroffenen Umgebungen. Ersetzen Sie Artefakte, indem Sie Bilder aus sauberen und verifizierten Quellen in isolierten Umgebungen rekonstruieren.

3) Überprüfung und Aushärten von Rohrleitungen. Vermeiden Sie automatische Anlagen ohne Überarbeitung in produktiven Umgebungen. Konfigurieren Sie Schloss / erlauben Sie Listenrichtlinien in internen Datensätzen, verwenden Sie Integritätsprüfung (Hashes), aktivieren Sie 2FA für Veröffentlichungskonten und beschränken CI Privilegien für die Paketveröffentlichung. Implementieren Sie das Scannen von Einheiten mit Werkzeugen wie Snyk, Dependabot oder Sonatype und valide Artefakte vor der Förderung der Produktion.

4) Monitor und Testerkennung. Blockieren Sie verdächtige ausgehende Kommunikation auf Firewalls (insbesondere auf C2-Servern) und überwachen Sie unerwartete Child-Prozesse, die von dist / in node _ Module binär laufen. Aktualisieren Sie EDR / AV-Regeln, um RedShell / RedC2 und Implementierungsmuster von Paketbindungen zu erkennen.

5) Gebrochene Anmeldeinformationen und Privilegien. Nach einem möglichen Einbruch betrachten Sie die Rotation von Schlüsseln und Anmeldeinformationen (APIs, SSH) und überprüfen Sie Benutzer und Zugriffe. Bewerten Sie die Notwendigkeit, engagierte Systeme neu aufzubauen, anstatt sie warm zu reinigen.

Mittelfristige strategische Empfehlungen: Verwenden Sie private Aufzeichnungen und Paketsignaturen für kritische Umgebungen; übernehmen reproduzierbare Ansätze für den Aufbau (Version und SLSA oder Signature-Blockung) und setzen Vertrauenskontrollen für Pakethalter ein. Die Sicherheitsgemeinschaft muss auch die Erkennung von Binaries in Modulen verbessern, die als rein JavaScript-Buchhandlungen versprochen werden.

Zusätzlicher Kontext: Diese Intrusion passt zu einem größeren Trend von Angriffen auf die Software-Versorgungskette (in verschiedenen Ökosystemen wie npm und crates.io). In den letzten Monaten wurden Vorfälle dokumentiert, in denen legitime Pakete begangen wurden, um bösartigen Code, der während der Zusammenstellung oder automatischen Installationen läuft, einzufügen. Für den allgemeinen Bezug zu Risiken und guten Supply Chain Praktiken siehe Industrieprojekte wie OWASP Software Supply Chain (https: / / owasp.org / www-project-supply-chain-security /) und offizielle npm Dokumentation (https: / / www.npmjs.com /). Der ursprüngliche technische Analysebericht wurde von Trend Micro veröffentlicht; seine Forschungsseite bietet weitere Details und Updates (https: / / www.trendmicro.com / en _ us / research.html).

Kurz gesagt, die Bedrohung zeigt, dass anscheinend sichere Pakete leistungsstarke Implantate tragen können und dass die automatische Ausführung - auch durch transiente Importe - große Verpflichtungen erleichtert. Wirksame Reaktion erfordert eine proaktive Erkennung in Repositorien und Pipelines, Blockierung von nicht verifizierten Einheiten und klare Verfahren, um betroffene Systeme zu enthalten und wiederherzustellen.