npmパッケージ14種にLinuxバックドア混入　インポートだけで遠隔操作プログラムを起動する「RedC2 4.0」が判明

要点

• npm公式レジストリで、日付や継続記録の計算ツールを装った14個の不正パッケージが確認された。

• 対象パッケージは正常に動作する機能を備えつつ、モジュール読み込み時にLinux向けバックドアを自動で起動する。

• 投下されるプログラムはC2フレームワーク「RedC2 4.0」のコンポーネントであり、認証情報窃取や対話型シェル実行を行う。

• 開発元とされる「Red Offsec」は、検知回避を特徴とするツールとして一般のWebサイト上で99.99ドルで販売している。

• トレンドマイクロのエンタープライズセキュリティ部門であるTrendAIは、JavaScriptのパッケージ管理システム「npm」の公式レジストリにおいて、Linuxシステムを標的とするバックドアを密かに配備する14個の不正パッケージを発見したと発表した。これらのパッケージは正常に機能するカレンダーやストリーク（継続記録）の計算ユーティリティを装い、裏でAI支援機能を備えた遠隔操作プログラム「RedC2 4.0」を展開するという。インストール時の自動実行スクリプトを必要とせず、プロジェクト内で一度でもインポートされるだけで悪意あるプログラムがバックグラウンドで起動する仕組みが明らかになった。

正常な機能を装い潜伏する14のパッケージ

TrendAIのレポートによると、今回特定された悪意あるパッケージは以下の14種類である。

• streak-metrics-math（バージョン1.0.0、1.0.1）
• kit-map-vim（バージョン1.0.0）
• streak-map-cache（バージョン1.0.0）
• streak-map-kit（バージョン1.0.0）
• map-streak-kit（バージョン1.0.0）
• streak-cache-map（バージョン1.0.0）
• streak-calc-metrics（バージョン1.0.0）
• streak-calc-math（バージョン1.0.0）
• streak-math-abz（バージョン1.0.0）
• streak-metricsaz（バージョン1.0.0）
• streak-math-metrics（バージョン1.0.0）
• streak-metricazbd（バージョン1.0.0）
• streak-metricsazb（バージョン1.0.0）
• streak-kit-map（バージョン1.0.0）

これらのパッケージは、表向きは公約どおりの日付計算やデータ管理といった機能を提供しており、実際に利用可能な状態になっている。しかしその内部には、計算処理を高速化するネイティブモジュールを装う形でLinux向けバックドアが同梱されていた。ファイル名は「math-core.bin」「math-calc.bin」「calc-math.dat」「calc-cache.bin」「calc.bin」「calc-mapping.bin」などパッケージごとに異なり、「dist/」または「dist/internal/」ディレクトリ配下に配置されていたという。

インストールフック不要、読み込みだけで即時実行される仕組み

セキュリティ研究者のアリアクバル・ザフラヴィ（Aliakbar Zahravi）氏によると、攻撃の起点はパッケージのエントリーファイルである「dist/index.mjs」にある。このファイルがローダー（読み込みプログラム）として機能し、正常な日付関数を再エクスポートしながら、同梱された不正バイナリを実行可能にして即座に起動する。

一般的なnpmサプライチェーン攻撃で悪用されるインストール時の自動実行フック（install hook）は使われておらず、エクスポートされた関数が呼び出されなくても、モジュールが読み込まれた瞬間に独立したバックグラウンドプロセスとして実行される。直接のインポートだけでなく、依存関係ツリーの深層にある推移的（間接的）なインポートであっても、コードが読み込まれた時点で不正な処理が発動すると説明されている。

C2フレームワーク「RedC2 4.0」の概要と開発経緯

今回投下されるバイナリは、C2（感染端末に遠隔から指令を送る仕組み）フレームワーク「RedC2 4.0」のLinux向けビーコン（指令サーバーと通信して端末を制御するプログラム）「RedShell」であることが判明している。RedC2はWindows、macOS、Linuxに対応したクロスプラットフォームのツールである。

このフレームワークは、2026年6月初旬に「MarlboroMan」と名乗る脅威アクターによってサイバー犯罪フォーラム「Hack Forums」で宣伝された。「検知回避のために構築された」と説明されており、2025年8月にバージョン2.0、2026年1月にバージョン3.0が販売されるなど、少なくとも1年以上にわたり開発が続けられてきた。今回のバージョン4.0で、新たにLinux対応のRedShellが導入された形だ。

RedC2 4.0は豊富な機能を備えており、ターミナル接続、ファイル転送、多段階ペイロード配信、データ収集、複数ビーコンの一括操作、ネットワーク構成の可視化、ホスト間トンネリングをサポートする。さらに、Beacon Object File（BOF：メモリ上で動的に実行可能なオブジェクト）や.NETアセンブリ、シェルコードをメモリ上で直接実行する機能も持つ。

Linux向け「RedShell」の動作とプラットフォーム別の機能差

被害端末に配備されたLinux版ビーコン「RedShell」は、「/bin/sh」を介して対話型シェル環境を確立し、基本情報を収集してC2サーバーへ「チェックインメッセージ」を送信する。その後は指示待ちループに入り、攻撃者からのコマンドを受信して実行し、結果をサーバーへ返送する。

さらにLinux環境に特化した機能として、システム探索やファイル操作に加え、SSH秘密鍵やブラウザに保存された認証情報の窃取、システムの永続化、ELF（Linuxの標準実行ファイル形式）バイナリのメモリ内実行、SOCKS5プロキシ設定、侵入範囲を広げるネットワークピボッティング（踏み台化）を備えている。

Windows版およびmacOS版も同様にファイル操作やネットワーク探索、アカウント列挙、情報収集を行うが、Windows版はさらに高度な機能を持つ。Windows版にはUAC（ユーザーアカウント制御）の回避、ウイルス対策ソフトやEDR（エンドポイント検知・対処）の妨害、メモリ内実行、組織内ネットワークでの横展開（ラテラルムーブメント）機能が含まれている一方、macOS版にはこれらの一部機能は実装されていないという。

「正規のセキュリティツール」を標榜する販売形態

RedC2は、「Red Offsec」という一般のWebサイト上において99.99ドルで販売されている。サイト上では「最新の技術を取り入れ、検知回避を基本原則として設計されたマルチOS対応C2フレームワーク」と紹介されている。

同サイトの利用規約では、無許可の不正アクセスやハッキング、所有していないシステムへの攻撃を明示的に禁止しており、「法的な境界を理解しているレッドチーム（侵入テスト担当者）向けに提供している」と主張している。しかし、実際にはnpmパッケージを通じた悪質なサプライチェーン攻撃のインフラとして悪用されている実態が示されている。