Thought Leadership
Sicherheitsforscher haben manipulierte npm-Pakete entdeckt, die sich als Kalenderwerkzeuge tarnen, jedoch eine KI-gestützte Linux-Hintertür installieren.
Trend Micros Unternehmenssparte TrendAI erklärte in einer Analyse, das Modul verankere die eingebettete Programmdatei beim Laden direkt als ausführbare Datei und starte sie im Hintergrund. Ein eigener Installations-Hook sei dafür nicht nötig, ein einzelner Import irgendwo im Abhängigkeitsbaum genüge bereits, um die Nutzlast auszulösen. Die betroffenen Pakete funktionieren dabei tatsächlich wie beworben, verstecken den eigentlichen Schadcode jedoch als vermeintlichen Mathe-Beschleuniger in Dateien mit wechselnden Namen. Sicherheitsforscher Aliakbar Zahravi ergänzte, die zentrale Einstiegsdatei fungiere als Trojaner-Loader und starte das eingebettete Implantat ohne eigene Installationsroutine.
Die eigentliche Nutzlast, ein sogenannter RedShell-Linux-Beacon, verbindet sich anschließend mit einem entfernten Windows- oder Linux-Server für weitere Aktivitäten nach der Kompromittierung. Der Linux-Beacon bietet dabei unter anderem eine interaktive Shell, Systemerkennung, Dateizugriff, das Auslesen von SSH-Schlüsseln und Browser-Zugangsdaten, dauerhafte Persistenz, Speicherausführung sowie SOCKS5-Proxying zur weiteren Netzwerkbewegung.
Werkzeug für rund 100 US-Dollar im Untergrund erhältlich
RedC2 wird auf einschlägigen Untergrundforen als plattformübergreifendes Command-and-Control-Werkzeug für Windows, macOS und Linux vermarktet, seit mindestens einem Jahr aktiv weiterentwickelt und aktuell für 99,99 US-Dollar über eine eigene, als Red Offsec bezeichnete Website vertrieben. Neben klassischen Funktionen wie Terminalzugriff, Dateitransfer und Netzwerkvisualisierung bietet die aktuelle Version zusätzlich eine als Red Agent bezeichnete, auf einem Sprachmodell basierende Komponente, mit der sich komplexe Aufgaben wie Netzwerkaufklärung oder das Auslesen von Zugangsdaten über natürlichsprachliche Befehle steuern lassen. TrendAI ordnete diese Funktion so ein, dass dadurch auch weniger erfahrene Angreifer komplexe, mehrstufige Angriffe effizient ausführen könnten.
Die Betreiber von Red Offsec bezeichnen ihr Werkzeug in den eigenen Nutzungsbedingungen ausdrücklich als für autorisierte Sicherheitstests gedacht und untersagen den Einsatz für unautorisierten Zugriff auf fremde Systeme.
Zweiter Supply-Chain-Vorfall binnen weniger Tage
Der Fund folgt nur wenige Tage nach einem separaten, bereits gemeldeten Angriff auf drei legitime Rust-Pakete, bei dem eine bösartige Abhängigkeit während des Kompilierens automatisch plattformübergreifende Schadsoftware ausführte. Nach Angaben der Forscher gibt es dabei Überschneidungen bei der genutzten Infrastruktur zu früheren, bereits Nordkorea zugeschriebenen Angriffen auf die npm-Pakete Mastra und Axios, ein tatsächlicher Zusammenhang zum aktuellen Fall gilt bislang jedoch nicht als bestätigt.
(red)
