Des paquets npm trojanisés livrent RedC2 4.0, un backdoor Linux au C2 assisté par IA

20 août 2026. Trend Micro publie un rapport qui décrit quatorze paquets npm trojanisés déposant un implant Linux. Début juin 2026. Un acteur nommé « MarlboroMan » met en vente RedC2 4.0 sur un forum de cybercriminalité, à 99,99 dollars. 21 août 2026. The Hacker News relaie l’analyse et détaille le chaînon manquant que peu d’équipes surveillent encore.

Pour un responsable sécurité, l’histoire tient en une phrase : on ne vous attaque plus seulement via le code que vous écrivez, mais via une dépendance transitive que personne n’a relue, et qui s’exécute à la seule lecture du module.

Un cheval de Troie qui fait ce qu’il promet

Le piège n’est pas un stub évident. Les quatorze paquets identifiés par Trend Micro — streak-metrics-math, kit-map-vim, streak-map-cache, streak-map-kit, map-streak-kit, streak-cache-map, streak-calc-metrics, streak-calc-math, streak-math-abz, streak-metricsaz, streak-math-metrics, streak-metricazbd, streak-metricsazb et streak-kit-map — se présentent comme des utilitaires de calendrier et de « streaks ». Ils fonctionnent : la fonctionnalité promise est réellement livrée.

C’est ce qui rend la détection difficile. Sous la surface, chaque paquet embarque un binaire au nom anodin — math-core.bin, math-calc.bin, calc-math.dat, calc-cache.bin, calc.bin, calc-mapping.bin — rangé dans dist/ ou dist/internal/. Ce binaire n’a rien d’un accélérateur mathématique : c’est RedShell, le beacon Linux du framework RedC2 4.0.

Le mécanisme de déclenchement est le point le plus inquiétant. Aliakbar Zahravi, le chercheur de Trend Micro qui a mené l’analyse, le décrit noir sur blanc : le point d’entrée du paquet, dist/index.mjs, agit comme un loader. Il réexporte les helpers de dates, puis lance l’implant dès que le module est chargé. Aucun hook d’installation, aucun appel de fonction requis — un simple import n’importe où dans le graphe de dépendances, même transitif, suffit à exécuter la charge utile.

# Illustration du risque : une dépendance transitive suffit à tout déclencher
npm ls streak-metrics-math        # remonte la chaîne complète
npm audit                         # ne détecte pas un paquet non signalé

RedC2 4.0, un framework C2 devenu une marchandise

RedC2 n’est pas un outil maison discret. C’est un framework de commandement et contrôle multiplateforme — Windows, macOS, Linux — vendu ouvertement. La version 4.0 a été annoncée début juin 2026 sur Hack Forums par « MarlboroMan », qui la décrit comme « pensée pour l’évasion ». La version 3.0 se vendait en janvier 2026, la 2.0 en août 2025 : le projet est en développement actif depuis au moins un an.

Le site de vente, Red Offsec, affiche un prix de 99,99 dollars et des conditions d’utilisation qui interdisent « l’accès informatique non autorisé » — une clause de façade qui n’a jamais empêché la diffusion. Les capacités annoncées donnent la mesure de l’outillage : accès terminal, transfert de fichiers, livraison de charges par étapes, collecte de données, opération multi-beacons, visualisation réseau, tunneling hôte-à-hôte, et exécution en mémoire de Beacon Object Files, d’assemblages .NET et de shellcode.

Le beacon RedShell pour Linux est la pièce qui atterrit sur vos serveurs. Une fois déployé, il ouvre un shell interactif via /bin/sh et expose des commandes de découverte système, de manipulation de fichiers, de collecte — clés SSH, identifiants de navigateurs —, de persistance, d’exécution d’ELF en mémoire, de proxy SOCKS5 et de pivot réseau. Il s’enregistre auprès du serveur C2 par un message de « check-in » puis entre dans une boucle d’exécution des instructions de l’opérateur.

L’IA abaisse la barrière d’entrée

La vraie nouveauté de RedC2 4.0 n’est pas la charge, c’est la couche de contrôle. Le framework embarque deux extensions : RedC2 EXT, une interface en ligne de commande, et Red Agent, un composant piloté par LLM.

Concrètement, Red Agent traduit une instruction en langage naturel — « fais une reconnaissance réseau, puis extrais les identifiants » — en séquences de commandes exécutées par les beacons. Red Offsec le présente comme un « système d’exécution de commandes dopé à l’IA, spécialisé dans les tests d’intrusion ». Trend Micro en tire la conclusion qui compte : cette abstraction permet à des opérateurs de niveaux très différents d’enchaîner des intrusions multi-étapes complexes, efficacement.

C’est la première fois, selon Trend Micro, qu’un framework C2 intégrant une IA de cette manière est distribué via des paquets npm malveillants. La conjugaison des deux — distribution par la chaîne d’approvisionnement logicielle, pilotage par IA — abaisse simultanément le coût d’entrée et la barrière technique de l’attaque.

Le contexte d’une semaine déjà chargée

Cette découverte arrive juste après une autre attaque de chaîne d’approvisionnement, cette fois sur trois crates Rust légitimes — [email protected], [email protected] et [email protected]. Les versions compromises embarquaient une dépendance proc-macro malveillante qui exécutait un malware multiplateforme automatiquement pendant les builds Cargo.

Les enquêteurs soupçonnent une compromission des identifiants de publication du mainteneur. Les chevauchements d’infrastructure pointent vers les attaques antérieures visant Mastra et Axios, toutes deux attribuées à des acteurs nord-coréens. La coïncidence n’est pas fortuite : l’écosystème des registres de paquets est devenu le terrain de chasse privilégié, car il contourne le périmètre réseau classique.

Verdict

Si vous maintenez des services Node.js en production, traitez ce cas comme un rappel opérationnel, pas comme une anecdote. La charge utile s’exécute à la lecture du module, sans hook d’installation : votre revue de code et votre npm audit ne suffisent pas. Ajoutez un contrôle des dépendances transitives et verrouillez vos versions avec un lockfile audité, en particulier pour tout paquet ajouté depuis août 2026.

Si vous ne pouvez pas tout auditer, concentrez-vous sur le signal le plus fiable : les paquets qui livrent une fonctionnalité réelle mais embarquée par un binaire natif au nom générique (*.bin, *.dat) dans dist/. Bloquez leur installation, inspectez leur provenance, et remontez la chaîne de dépendances avec npm ls avant de les laisser entrer dans un environnement de build.

La règle à retenir : un framework C2 vendu 99,99 dollars et piloté à la voix est désormais à portée d’un simple paquet npm. La question n’est plus « sommes-nous visés », mais « quel import transitif a déjà franchi la porte ».

Références

• 14 Trojanized npm Packages Drop RedC2 4.0 Linux Backdoor With AI-Assisted C2 — The Hacker News, 21 août 2026
• Trend Micro — analyse des paquets npm trojanisés et de RedC2 4.0, rapport publié le 20 août 2026