14 paquetes npm comprometidos distribuyen RedC2 4.0

Investigadores de Trend Micro han identificado una campaña que publica 14 módulos de npm aparentemente inofensivos – entre ellos utilidades de calendario y de seguimiento de rachas – pero que ocultan un implante Linux llamado RedC2 4.0. El payload se activa al cargar el módulo, marca el binario incluido como ejecutable y lo lanza como proceso independiente en segundo plano.

"When the module loads, it locates the bundled binary" (Trend Micro).

RedC2 4.0 se comunica con su servidor de mando y control mediante tráfico HTTP/S, lo que le permite evadir firewalls tradicionales y mezclarse con tráfico legítimo. La capacidad de usar IA para generar comandos dinámicos aumenta la dificultad de detección.

Impacto

Los paquetes afectados son de uso general en proyectos Node.js, lo que facilita su propagación a través de dependencias de terceros. Un atacante que logre ejecutar el backdoor puede obtener acceso remoto, ejecutar comandos arbitrarios y exfiltrar datos del entorno Linux comprometido.

Cobertura de detección en DefensOps

  • Técnica MITRE: T1071.001 – C2 sobre HTTP/S
  • Regla: 111021 (detección de beaconing tipo Cobalt Strike) – disponible en el plan Professional.

Mitigación recomendada

  • Revise la integridad de los paquetes npm antes de instalarlos (hashes, firmas).
  • Utilice herramientas de escaneo de dependencias que detecten modificaciones maliciosas.
  • Monitoree procesos inesperados y tráfico HTTP/S saliente desde servidores de desarrollo.

¿Estás cubierto en DefensOps?

Nuestro plan Professional incluye la regla 111021 para detectar comunicaciones C2 sobre HTTP/S (T1071.001) y otras técnicas de beaconing. Protege tus entornos Node.js y Linux con alertas en tiempo real.

Solicita una demo o consulta nuestros precios.

Fuente: The Hacker News