Uma campanha de ataque à cadeia de suprimentos de software foi identificada utilizando pacotes npm maliciosos para implantar um backdoor Linux chamado RedShell, associado ao framework de comando e controle RedC2. Os pacotes afetados disfarçam-se como utilitários legítimos de cálculo de datas e calendários, entregando funções benéficas enquanto escondem um binário malicioso que é executado silenciosamente no ambiente de desenvolvimento ou produção.
Mecanismo de infecção e entrega
O perigo começa quando um módulo afetado é importado. O carregador torna um programa Linux embutido executável e o inicia em segundo plano, sem um script de instalação ou chamada de função suspeita. Pesquisadores da TrendAI identificaram a campanha como um ataque à cadeia de suprimentos de software que entrega o RedShell, o implante Linux associado ao framework RedC2. O impacto se estende além do host inicial.
O implante pode coletar credenciais, explorar uma rede, mover tráfego através de uma máquina infectada e trazer ferramentas extras. Isso coloca o código-fonte, o acesso à nuvem e os serviços internos em risco quando um pacote envenenado atinge uma cadeia de construção confiada. Os pacotes afetados apresentam-se como utilitários pequenos e independentes de dependências para matemática de datas. Suas funcionalidades anunciadas funcionam conforme o esperado, enquanto um binário oculto é apresentado como um assistente nativo.
A combinação de código útil e execução oculta é por que campanhas de pacotes npm maliciosos permanecem difíceis para as equipes detectarem cedo. O arquivo de entrada, dist/index.mjs, é executado automaticamente quando o módulo é carregado. Ele verifica o binário, altera suas permissões e verifica seu valor SHA-256 antes de iniciá-lo como um processo desanexado.
Capacidades do implante RedShell
O binário é o RedShell, um componente nativo Linux introduzido no RedC2 4.0. O implante usa caminhos HTTP simples separados para roubo de dados e downloads de payload. O relatório descreve o RedShell como capaz de pegar chaves SSH, credenciais armazenadas no navegador e arquivos relacionados a bancos de dados. Ele pode criar persistência através de cron, arquivos de inicialização de shell, serviços de nível de usuário ou entradas de inicialização automática de área de trabalho.
Essas ações podem dar aos intrusos um ponto de apoio duradouro após o pacote original ter sido removido. O RedShell pode executar comandos, abrir um shell reverso, transferir arquivos e inspecionar usuários, processos e configurações de rede. Ele suporta proxy SOCKS5, encaminhamento de porta TCP e tunelamento, recursos que podem transformar um host Linux comprometido em uma ponte para sistemas de outra forma inacessíveis.
Uso de IA para automação de ataque
O RedC2 inclui o Red Agent, um recurso que transforma uma solicitação em linguagem natural em uma sequência de comandos para um sistema infectado. Um operador pode pedir reconhecimento ou coleta de credenciais em vez de emitir manualmente cada etapa. A camada de IA pode tornar a atividade subsequente mais rápida e mais fácil de coordenar. O risco se assemelha a incidentes recentes de roubo de credenciais de CI em que ambientes de desenvolvedor forneceram acesso valioso além de uma única estação de trabalho.
Indicadores de comprometimento e mitigação
As equipes de segurança devem verificar os arquivos lock, caches de pacotes e artefatos de construção para os nomes e versões de pacotes afetados. Qualquer host que importou um deve ser tratado como potencialmente comprometido: isolá-lo, rotacionar credenciais expostas, inspecionar locais de persistência e revisar conexões de saída. Remover uma dependência sozinha pode não remover um implante lançado ou desfazer segredos roubados.
Os defensores devem observar processos Node alterando arquivos .bin embutidos para executáveis, filhos em segundo plano inesperados de diretórios de dependência e tráfego para os endereços e portas listados. O endurecimento da aprovação de dependência, fixação de versões, revisão de conteúdos de pacote e limitação de permissões do sistema de construção reduzem o raio de explosão. O caso reforça lições de ataques de entrega de malware multiplataforma onde payloads nativos se escondem atrás de ferramentas de desenvolvimento confiadas.
Lista de pacotes maliciosos identificados
Os pacotes identificados incluem streak-metrics-math@1.0.0, streak-metrics-math@1.0.1, kit-map-vim@1.0.0, streak-map-cache@1.0.0, streak-map-kit@1.0.0, map-streak-kit@1.0.0, streak-cache-map@1.0.0, streak-calc-metrics@1.0.0, streak-calc-math@1.0.0, streak-math-abz@1.0.0, streak-metricsaz@1.0.0, streak-math-metrics@1.0.0, streak-metricazbd@1.0.0, streak-metricsazb@1.0.0 e streak-kit-map@1.0.0. A hash SHA-256 do implante RedShell Linux é 4537B1189CE419F1A595CF47216C03F80E9170CE80DAD8D9227A1E52F9CB3466.
Recomendações para CISOs
Para resposta a incidentes, priorize hosts com acesso a repositórios de código-fonte, chaves de implantação, tokens de nuvem ou redes de produção. Pesquise a telemetria de endpoint para a hash do RedShell e nomes de arquivos, bloqueie comunicações maliciosas confirmadas onde apropriado e preserve logs antes de reconstruir sistemas. As evidências apontam para uma ameaça projetada para estabelecer uma rota para comprometimento de rede.
Perguntas frequentes
O --ignore-scripts previne a infecção?
Não, pois o carregador não depende de hooks de ciclo de vida do npm. A execução ocorre durante o carregamento do módulo.
Como detectar o RedShell?
Procure por processos Node executando binários embutidos em diretórios de dependência e tráfego de saída para os endpoints C2 listados.
Qual é o impacto na conformidade?
A infecção pode violar requisitos de segurança de cadeia de suprimentos e proteção de dados, exigindo notificação de violação dependendo da jurisdição.