npm-Pakete für Kalender tarnen RedShell, den Linux-Beacon von RedC2 4.0

Ein einziger Import genügt, um die Malware zu starten

Forscher von TrendAI, der Enterprise-Sparte von Trend Micro, haben eine Gruppe trojanisierter npm-Pakete entdeckt, die sich als Dienstprogramme für Kalender, Datumsangaben und sogenannte „Streaks“ ausgeben. Die Entdeckung wurde am 21. August 2026 bekannt gegeben.

Die Module erfüllen tatsächlich die angegebenen Funktionen, enthalten jedoch zusätzlich den Linux-Beacon RedShell, eine Komponente des Command-and-Control-Frameworks RedC2 4.0. Die Payload wird automatisch ausgeführt, sobald das Modul geladen wird.

Dafür ist weder ein postinstall-Skript noch der explizite Aufruf einer Funktion erforderlich. Es genügt, dass die Anwendung das Paket importiert – auch indirekt über eine transitive Abhängigkeit.

Dieser Mechanismus vergrößert die Angriffsfläche erheblich. Ein Entwickler muss eines der Dienstprogramme nicht direkt in die Anwendung eingebunden haben: Es kann dennoch im Abhängigkeitsbaum auftauchen und die Malware beim Start des Node.js-Prozesses aktivieren.

Die betroffenen Pakete und Binärdateien

Die identifizierten Pakete und Versionen sind:

• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]
• [email protected]

Der Schadcode befindet sich in dist/index.mjs. Die Datei stellt weiterhin die Exporte der legitimen Dienstprogramme bereit und fungiert gleichzeitig als Loader.

Beim Laden sucht die Datei die im Paket enthaltene Binärkomponente, setzt deren Berechtigungen auf ausführbar und startet sie als abgekoppelten Hintergrundprozess. Die Anwendung kann dadurch weiterhin Datumsfunktionen nutzen, ohne dass der Benutzer offensichtliche Hinweise bemerkt.

Die Payload kann unterschiedliche Namen tragen:

• math-core.bin
• math-calc.bin
• calc-math.dat
• calc-cache.bin
• calc.bin
• calc-mapping.bin

Die Dateien liegen direkt im Verzeichnis dist/ oder in dist/internal/. Laut Analyse handelt es sich bei ihrem Inhalt jeweils um denselben Linux-Beacon RedShell für RedC2 4.0.

Was RedShell auf einem Linux-Host tun kann

RedShell sammelt grundlegende Informationen über das kompromittierte System und übermittelt sie beim ersten „Check-in“ an die Command-and-Control-Infrastruktur. Anschließend wartet der Beacon auf Befehle, führt sie über /bin/sh aus und sendet die Ergebnisse an den Operator zurück.

Zu den beobachteten Funktionen gehören interaktiver Terminalzugriff, Dateiverwaltung, Datentransfer und die Verteilung zusätzlicher Payloads. Der Beacon kann außerdem SSH-Schlüssel und in Browsern gespeicherte Zugangsdaten erfassen.

Weitere verfügbare Funktionen sind:

• System- und Netzwerkaufklärung;
• Ausführung von Befehlen;
• Persistenzmechanismen;
• Ausführung von ELF-Dateien im Speicher;
• Ausführung von Beacon Object Files;
• Ausführung von .NET-Assemblys und Shellcode;
• SOCKS5-Proxy;
• Pivoting zu anderen Systemen im Netzwerk.

Der Funktionsumfang geht über einfachen Fernzugriff hinaus. Ein infizierter Host kann als Ausgangspunkt dienen, um Geheimnisse zu sammeln, sich im Unternehmensnetzwerk weiterzubewegen, Datenverkehr weiterzuleiten und zusätzliche Komponenten nachzuladen.

Die für Windows und macOS bestimmten RedC2-Varianten bieten ähnliche Funktionen zur Host-Aufklärung, Benutzeraufzählung, Dateiverwaltung und Datensammlung. Die Windows-Version enthält außerdem Funktionen zur Umgehung der Benutzerkontensteuerung (UAC), zur Erkennung und Manipulation von Antivirus- und Endpoint-Detection-Produkten, zur Ausführung von Code im Speicher und zur Unterstützung lateraler Bewegungen. Diese Fähigkeiten sind in der macOS-Variante offenbar nicht verfügbar.

RedC2 4.0 integriert einen LLM-basierten Agenten

RedC2 4.0 wird als plattformübergreifendes Framework für Windows, macOS und Linux beworben. Der Akteur „MarlboroMan“ stellte es Anfang Juni 2026 auf Hack Forums vor und beschrieb es als Produkt, bei dessen Entwicklung die Umgehung von Sicherheitsmechanismen im Mittelpunkt stand.

Version 3.0 wurde im Januar verkauft, Version 2.0 war im August 2025 veröffentlicht worden. RedShell Linux wurde mit Version 4.0 eingeführt, was auf eine aktive Weiterentwicklung des Toolkits hindeutet.

Das Framework wird außerdem über die Clearnet-Website Red Offsec vermarktet, wo es für 99,99 US-Dollar als Multi-OS- und mehrsprachiges Produkt angeboten wird. Die Nutzungsbedingungen untersagen zwar offiziell den Einsatz gegen nicht autorisierte Systeme, verhindern jedoch nicht die kriminelle Nutzung des Tools.

Das Paket umfasst RedC2 EXT, eine Kommandozeilenerweiterung, sowie Red Agent, eine auf einem Large Language Model basierende Komponente. Letztere ermöglicht es dem Operator, die gewünschte Aktivität in natürlicher Sprache zu beschreiben, etwa eine Netzwerkaufklärung oder das Dumping von Zugangsdaten.

Das System wandelt diese Absicht in Befehlssequenzen um, die an die Beacons gesendet werden. Die Automatisierung beseitigt nicht die Notwendigkeit eines initialen Zugriffs, kann aber die erforderlichen Kenntnisse für komplexe, mehrstufige Post-Exploitation-Aktivitäten reduzieren.

Risiko für Entwickler und Unternehmensinfrastrukturen

Das Risiko betrifft vor allem Linux-Systeme, auf denen eines der genannten Pakete direkt oder über eine indirekte Abhängigkeit installiert wird. Da die Dienstprogramme tatsächlich funktionieren, kann die Entdeckung verzögert werden: Das Modul liefert das erwartete Ergebnis, während der Loader den Beacon parallel ausführt.

Die Kompromittierung kann die beliebige Ausführung von Befehlen, den Diebstahl von Zugangsdaten, die Erfassung von SSH-Schlüsseln, den Zugriff auf Dateien und die Installation weiterer Payloads ermöglichen. In Unternehmensumgebungen können SOCKS5-Proxy und Pivoting eine einzelne Workstation oder einen Build-Server in einen Zugangspunkt zu internen Systemen verwandeln.

Die Entdeckung erfolgte zudem zeitnah zu einem weiteren Supply-Chain-Angriff, bei dem drei legitime Rust-Crates betroffen waren: [email protected], [email protected] und [email protected].

In diesem Fall konnte die schädliche Abhängigkeit proc-macro1 während Cargo-Builds automatisch plattformübergreifende Malware ausführen. Die Komponente profilierte das Gerät, erfasste Chromium-basierte Browser, richtete Persistenz ein, kontaktierte die Infrastruktur der Angreifer und lud weitere Payloads herunter.

Es wird vermutet, dass die Zugangsdaten gestohlen wurden, die der Maintainer zum Veröffentlichen der Pakete verwendete. Zudem wurden infrastrukturelle Überschneidungen mit früheren Supply-Chain-Angriffen auf Mastra und Axios beobachtet, die nordkoreanischen Akteuren zugeschrieben werden.

Sofortige Kontrollen und Bereinigung

Für die betroffenen npm-Pakete ist kein spezifischer Patch bekannt. Organisationen sollten sie blockieren und entfernen und dabei sowohl direkt deklarierte Abhängigkeiten als auch den gesamten transitiven Abhängigkeitsbaum überprüfen.

Priorität haben folgende Maßnahmen:

1. package-lock.json, andere npm-Lockfiles und lokale Caches analysieren;
2. nach verdächtigen Dateien in den Verzeichnissen dist/ und dist/internal/ suchen;
3. ungewöhnliche Linux-Prozesse prüfen, die im Hintergrund gestartet wurden;
4. Verbindungen zu unbekannten C2-Infrastrukturen überprüfen;
5. Persistenz, ungewöhnliche Nutzung von /bin/sh, SOCKS5-Proxy und Pivoting untersuchen;
6. verdächtige Hosts vor der Bereinigung isolieren;
7. Passwörter, Token, SSH-Schlüssel und andere auf den Systemen vorhandene Geheimnisse rotieren;
8. für die forensische Analyse relevante Beweismittel sichern.

Um ähnliche Vorfälle zu verhindern, sind Versions-Pinning, Paket-Allowlisting, Scans vor der Installation und Kontrollen von Änderungen in Repositorys erforderlich. Cargo-Umgebungen sollten proc-macro-Abhängigkeiten außerdem gezielt überprüfen, da diese während der Kompilierung Code ausführen können.