Un nuovo caso di attacco alla supply chain del software sta colpendo lo sviluppo JavaScript tramite npm, con 14 pacchetti trojanizzati che si presentano come utilità per calendario e gestione di streak ma che in realtà distribuiscono una backdoor Linux chiamata RedC2 4.0. L’aspetto più insidioso è che questi pacchetti risultano davvero funzionanti e offrono le funzionalità promesse, rendendo più difficile individuare comportamenti sospetti durante i test rapidi o le verifiche superficiali delle dipendenze.
Il meccanismo di infezione è progettato per attivarsi al semplice caricamento del modulo. All’import, il codice individua un binario incluso nel pacchetto, lo rende eseguibile e lo avvia come processo in background, senza richiedere hook di installazione e senza che lo sviluppatore debba chiamare una funzione specifica. Questo significa che anche una dipendenza transitiva, cioè installata indirettamente tramite un’altra libreria, può essere sufficiente per eseguire il payload su sistemi Linux durante build, avvio o runtime.
I pacchetti individuati includono nomi come streak metrics math, kit map vim, streak map cache e varianti simili, spesso pubblicati in versione 1.0.0 o 1.0.1. Il binario malevolo viene mascherato come acceleratore matematico nativo e può comparire con nomi differenti come math core bin, math calc bin, calc math dat, calc cache bin, calc bin o calc mapping bin, posizionati tipicamente in dist o in sottocartelle interne. Il file di ingresso dist index mjs agisce da loader, re-esporta le funzioni di utilità legittime e contemporaneamente avvia l’impianto.
Una volta eseguito, il beacon Linux di RedC2 4.0 stabilisce comunicazione con un server di comando e controllo e registra la macchina compromessa inviando informazioni di base. Da lì entra in un ciclo di comandi che consente shell interattiva tramite bin sh, trasferimento file, raccolta dati sensibili come chiavi SSH e credenziali browser, persistenza, esecuzione in memoria di ELF e funzioni di pivoting e tunneling, inclusa la modalità proxy SOCKS5.
RedC2 4.0 viene promosso come framework multipiattaforma per Windows macOS e Linux e integra anche un componente assistito da modelli linguistici che permette di impartire istruzioni in linguaggio naturale per automatizzare attività post-exploitation come ricognizione e credential dumping. Questa evoluzione evidenzia come la combinazione tra malware e AI possa abbassare la soglia tecnica per condurre intrusioni complesse, aumentando il rischio per team di sviluppo e ambienti CI/CD che dipendono da ecosistemi open source come npm.