Recientemente, investigadores de ciberseguridad han descubierto un conjunto de 14 paquetes npm troyanizados que, bajo la apariencia de utilidades legítimas de calendario y seguimiento, distribuyen sigilosamente un implante de Linux llamado RedC2 4.0. Este backdoor se distingue por integrar capacidades de inteligencia artificial (IA) para su comando y control (C2), representando una amenaza significativa para desarrolladores y organizaciones que utilizan la plataforma npm. La ejecución del payload no requiere de un “install hook”; basta con una simple importación del módulo, incluso transitoria, para desplegar el malware en el sistema Linux.
Estos paquetes maliciosos, que incluyen nombres como streak-metrics-math y kit-map-vim, son funcionales en su superficie, ofreciendo la utilidad prometida. Sin embargo, en segundo plano, insertan un binario que actúa como el beacon RedShell para RedC2 4.0. Una vez activo, este implante es una herramienta de post-explotación cross-platform diseñada para Windows, macOS y Linux, con funcionalidades avanzadas como vigilancia, robo de credenciales, carga de payloads y operaciones masivas. La integración de un asistente de IA, denominado Red Agent, simplifica la orquestación de tareas complejas, permitiendo a atacantes de diversos niveles de habilidad ejecutar intrusiones multifase eficientemente.
Las capacidades de RedC2 4.0 abarcan desde acceso a terminal y transferencia de archivos hasta recolección de datos sensibles como claves SSH y credenciales de navegadores. También facilita el pivoteo de red y la ejecución en memoria de binarios ELF. Este marco de C2 ha estado en desarrollo activo durante al menos un año y se comercializa en foros de ciberdelincuencia, lo que subraya su sofisticación y el acceso a herramientas avanzadas para actores de amenazas. La detección de estos paquetes resalta la creciente amenaza de los ataques a la cadena de suministro de software, donde dependencias aparentemente inofensivas pueden comprometer sistemas enteros.
Para mitigar los riesgos derivados de este tipo de amenazas, es crucial que las organizaciones implementen prácticas rigurosas de seguridad en el desarrollo y despliegue de software. Esto incluye la verificación exhaustiva de las dependencias de terceros, la supervisión de la integridad del código y la aplicación de políticas de seguridad estrictas para las herramientas de desarrollo. La rápida identificación y contención de estas infecciones es vital para proteger la infraestructura y los datos.
Qué significa para tu empresa: La proliferación de implantes como RedC2 4.0 a través de la cadena de suministro de software exige una estrategia de seguridad robusta y proactiva. Contar con una seguridad gestionada por capas que incluya la protección de endpoints EDR/XDR es fundamental para detectar y responder a comportamientos maliciosos que evaden las defensas tradicionales. Además, un SOC con monitoreo 24/7 es esencial para identificar actividad anómala, especialmente en sistemas Linux que podrían ser objetivos de RedC2 4.0, y garantizar una respuesta oportuna ante ataques sofisticados.
Fuente original: The Hacker News — ver artículo →