セキュリティ研究者らは、Hack Forumsで販売されている商用マルチOS対応C2(コマンド&コントロール)フレームワーク「RedC2」に関連するネイティブLinuxインプラントを配布するサプライチェーン攻撃キャンペーンを発見しました。攻撃には、npmサプライチェーン攻撃として拡大しつつある脅威を象徴する、トロイの木馬化された一連のnpmパッケージ群が使われています。
この調査結果はTrendAI Researchによるもので、同社はこれらのパッケージを解析し、埋め込まれていたインプラント「RedShell Linux」をリバースエンジニアリングしました。
悪意あるパッケージにはstreak-metrics-math、kit-map-vim、streak-map-cache、map-streak-kit、streak-calc-mathなどがあり、少なくとも他に8種類の類似名の亜種も確認されています。これらは依存関係を持たないカレンダー・「連続記録(streak)」計算用ユーティリティを装っています。
TrendAIによると、各パッケージにはdist/internal/daymath.mjs内に実際に機能する日付計算コードが含まれている一方で、「ネイティブ数学アクセラレータ」を装ったLinux ELFバイナリがmath-core.bin、calc-cache.bin、calc-mapping.binといったファイル名で同梱されています。
エントリファイルであるdist/index.mjsは正規の日付ヘルパー関数を再エクスポートする一方で、非同期のIIFE(即時実行関数式)を含んでおり、モジュール読み込み時に同梱バイナリを密かに起動します。これにはエクスポートされた関数の呼び出しも、preinstall・postinstallフックも一切必要としません。
TrendAIの分析によれば、この設計は--ignore-scriptsによる保護を無効化します。プロジェクトの依存関係ツリーのどこか一箇所でも推移的インポートが行われれば、それだけで実行がトリガーされてしまうためです。
ローダーはバイナリのSHA-256ハッシュをハードコードされた値と照合して検証し、chmod 0o755で実行権限を付与した上で、親であるNode.jsプロセスが終了しても生き残るよう、デタッチ状態かつシェルを介さずにバイナリを起動します。
RedShell Linuxは、RedC2バージョン4.0(2026年6月1日リリース)で導入され、TrendAIのセキュリティブログ分析で詳しく解説されています。TrendAIの報告によると、ダブルフォークによりデーモン化し、TLS 1.2以降で独自のROR1/XOR暗号化レイヤーに包まれた通信を用いて、ハードコードされたC2サーバー217.60.77.63:8792に接続します。証明書検証は無効化されています。また、再起動をまたいだ再感染を追跡するため、~/.config/.rsvcに永続的なインストールIDを生成・保存します。
その機能はシステム・ネットワーク偵察、SSH鍵およびブラウザ認証情報の収集、/bin/sh経由の任意シェル実行、memfdを用いたインメモリでのELF・シェルコード実行、SOCKS5プロキシ、TCPポートフォワーディング、RedC2サーバーを介したクロスネットワークトンネリングなど多岐にわたり、検知回避型マルウェアキャンペーンで観測されている手法と一致しています。
永続化はcronジョブ、~/.bashrc、systemdユーザーサービス、またはXDG自動起動エントリを通じて確立されます。データの窃取経路としては、平文HTTPによる217.60.77.63:8060への送信や、正規のファイル共有サービスlitterbox.catbox.moeへのアップロードが確認されています。
RedC2の最大の特徴は、あらゆるビーコン端末上で/raコマンドから利用できるLLM駆動のコマンドレイヤー「Red Agent」です。TrendAIによれば、これは「認証情報をダンプせよ」「ネットワーク偵察を実行せよ」といった自然言語による操作者の指示を、段階的な手動操作を必要とすることなく、フレームワークコマンドの順序立てられた連鎖に変換します。
2026年7月のアップデートでは、xAI SDKの欠落が原因で発生していたLinux版Red Agentの障害が修正されており、LLM APIへの依存が裏付けられています。
TrendAI Vision One™ Network Securityは、検知ID47909: HTTP: Backdoor.Linux.RedShellixo.A Runtime Detectionでこのマルウェアを検出します。Linuxオブジェクトファイルの確認済みSHA-256ハッシュ値は4537B1189CE419F1A595CF47216C03F80E9170CE80DAD8D9227A1E52F9CB3466です。
組織は、node_modules内に該当パッケージおよび関連する.bin/.dat形式のペイロードファイルが存在しないか監査し、ポート8792、8060、8888における217.60.77.63宛ての外向き通信を監視するとともに、dist/internal/配下のバイナリを対象とするchmod操作を調査することで、高度なバックドア脅威からエンドポイントを守るべきです。
翻訳元: https://cyberpress.org/redc2-linux-malware/
