14 חבילות npm מתחזות מטמיעות דלת אחורית ללינוקס בשם RedC2

חוקר מ-Trend Micro חשף 14 חבילות npm זדוניות שהתחזו לכלי מעקב הרגלים (streak) ולחישובי תאריכים תמימים, אך הטמיעו בפועל דלת אחורית ללינוקס בשם RedC2. החבילות תפקדו כמובטח, מה שהקשה על גילוין, ודי היה ביבוא (import) שלהן בכל מקום בעץ התלויות — גם בעקיפין — כדי להפעיל את הקוד הזדוני.

איור חבילת קוד עם דלת אחורית נסתרת על רקע כחול-ציאן

הפרטים

לפי הדוח, שפרסם החוקר Aliakbar Zahravi מחטיבת TrendAI של Trend Micro ב-21 באוגוסט 2026, החבילות — בשמות כמו streak-metrics-math ו-streak-map-kit — כללו קובץ בינארי מוטמע. עם טעינת המודול, הקוד סימן את הקובץ הבינארי כבר-הרצה והריץ אותו כתהליך רקע מנותק, בלי צורך ב-install hook ייעודי. הקובץ הבינארי הוא בעצם RedC2 4.0 — מסגרת פיקוד ובקרה מסחרית המשווקת תחת השם Red Offsec וכוללת שכבת בינה מלאכותית (Red Agent) שממירה הנחיות בשפה טבעית לפקודות הפעלה בפועל. החוקרים מקשרים את השימוש בה לגורם המכונה MarlboroMan. המוקד העיקרי של הדלת האחורית הוא לינוקס, עם תמיכה משנית בחלונות ו-macOS.

נקודות לשים לב

בדוק אם אחת מ-14 החבילות (למשל streak-metrics-math, streak-map-kit, streak-cache-map, streak-calc-metrics) מופיעה בעץ התלויות שלך — כולל תלויות עקיפות — ולא רק בקובץ package.json הראשי.
אם נמצאה חבילה כזו, הסר אותה מיידית, ובדוק תהליכי רקע חשודים שהופעלו מתיקיית node_modules על שרתי הבנייה או הפיתוח.
המנגנון לא דורש הרצת סקריפט התקנה כדי לפעול — עצם ה-import מספיק, כך שסריקות שמתמקדות רק ב-install hooks עלולות לפספס אותו.
שקול נעילת גרסאות תלויות (lockfile קבוע) ואימות מקור החבילה לפני עדכון תלויות בפרויקטים בייצור.
מדובר בכלי פיקוד ובקרה מסחרי שמשווק כמוצר לגיטימי לצוותי תקיפה, ולא בנוזקה שנכתבה ייעודית לקמפיין הזה — כך שסביר לראות אותו שוב בהתקפות אספקה עתידיות.