พบแพ็กเกจ npm ถูกฝัง Trojan 14 รายการ แอบแฝงการติดตั้ง Backdoor บน Linux ชื่อ RedC2 4.0 พร้อมระบบ C2 ที่ทำงานร่วมกับ AI

นักวิจัยด้านความปลอดภัยไซเบอร์ พบชุดแพ็กเกจ npm ที่ถูกฝัง Trojan ซึ่งปลอมตัวเป็นเครื่องมือจัดการปฏิทิน และโปรแกรมติดตามกิจกรรมประจำวันที่ใช้งานได้จริง แต่แท้จริงแล้วถูกออกแบบมาเพื่อแอบแฝงการติดตั้งโปรแกรมปัญญาประดิษฐ์ (AI) บนระบบ Linux ชื่อ RedC2 4.0 ลงบนเครื่องของเหยื่อ

TrendAI ธุรกิจด้านความปลอดภัยไซเบอร์สำหรับองค์กรของ Trend Micro ระบุไว้ในรายงานที่เผยแพร่ว่า "เมื่อโมดูลถูกโหลด มันจะค้นหาไฟล์ Binary ที่แนบมาด้วย จากนั้นกำหนดสิทธิ์ให้ไฟล์ดังกล่าวสามารถ Execute ได้ และเรียกใช้งานในรูปแบบ Background Process ที่แยกออกไปต่างหาก และระบุเพิ่มเติมว่า ไม่จำเป็นต้องมีการเรียกใช้ฟังก์ชัน Install Hook แต่อย่างใด เพียงแค่มีการ import จากจุดใดก็ตามใน Dependency Graph แม้จะเป็นแบบ Transitive ก็เพียงพอที่จะทำให้ Payload ทำงานได้แล้ว"

รายชื่อแพ็กเกจที่ตรวจพบมีดังต่อไปนี้ :

• streak-metrics-math@1.0.0,1.0.1
• kit-map-vim@1.0.0
• streak-map-cache@1.0.0
• streak-map-kit@1.0.0
• map-streak-kit@1.0.0
• streak-cache-map@1.0.0
• streak-calc-metrics@1.0.0
• streak-calc-math@1.0.0
• streak-math-abz@1.0.0
• streak-metricsaz@1.0.0
• streak-math-metrics@1.0.0
• streak-metricazbd@1.0.0
• streak-metricsazb@1.0.0
• streak-kit-map@1.0.0

จุดที่น่าสนใจของแพ็กเกจเหล่านี้คือ ทุกตัวสามารถใช้งานได้จริง และให้ฟังก์ชันการทำงานตรงตามที่ระบุไว้ แต่ภายใต้หน้ากากของเครื่องมือจัดการวันที่นั้น กลับมีโค้ดที่ถูกออกแบบมาเพื่อติดตั้ง Backdoor บน Linux โดยอำพรางว่าเป็นตัวเร่งการคำนวณทางคณิตศาสตร์แบบ Native โดยชื่อไฟล์จะแตกต่างกันไปในแต่ละแพ็กเกจ ได้แก่ math-core[.]bin, math-calc[.]bin, calc-math[.]dat, calc-cache[.]bin, calc[.]bin และ calc-mapping[.]bin

ไฟล์ดังกล่าวจะถูกวางไว้ใน dist/ โดยตรง หรืออยู่ภายใต้ dist/internal/ แต่สิ่งที่อยู่ภายในนั้นเหมือนกันทั้งหมด นั่นคือ RedShell Linux beacon สำหรับ RedC2 4.0 ซึ่งจะติดต่อสื่อสารกับเซิร์ฟเวอร์ Windows หรือ Linux จากภายนอก เพื่อรองรับการดำเนินการในขั้น Post-exploitation บนเครื่องที่ถูกโจมตี

Aliakbar Zahravi นักวิจัยด้านความปลอดภัยระบุว่า "การส่ง Payload ถูกจัดการโดยไฟล์ Entry ของแพ็กเกจอย่าง dist/index[.]mjs ซึ่งทำหน้าที่เป็น Trojan Loader โดยไฟล์ดังกล่าวจะทำการ re-export ฟังก์ชันช่วยจัดการวันที่ออกไป และเรียกใช้งาน Implant ที่แนบมาทันทีที่โมดูลถูกโหลด โดยไม่จำเป็นต้องมี Install Hook และไม่ต้องมีฟังก์ชันที่ถูก Export ออกมาแต่อย่างใด"

RedC2 4.0 ถูกวางขายบนฟอรัมอาชญากรรมไซเบอร์ในฐานะชุดเครื่องมือแบบ Cross-platform ที่รองรับทั้ง Windows, macOS และ Linux โดยมีความสามารถในการสอดแนม, การขโมยข้อมูลยืนยันตัวตน, การโหลด Payload และการปฏิบัติการเป็นวงกว้าง ทั้งนี้เวอร์ชันดังกล่าวถูกโฆษณาโดยกลุ่มผู้โจมตีที่ใช้ชื่อว่า "MarlboroMan" บน Hack Forums เมื่อช่วงต้นเดือนมิถุนายน 2026 โดยอธิบายว่าเป็นเฟรมเวิร์ก Command-and-Control ที่สร้างขึ้นมาเพื่อการหลบเลี่ยงการตรวจจับ

RedC2 เวอร์ชัน 3.0 ถูกวางขายเมื่อเดือนมกราคมที่ผ่านมา ขณะที่เวอร์ชัน 2.0 ถูกปล่อยออกมาในเดือนสิงหาคม 2025 ซึ่งแสดงให้เห็นว่า เฟรมเวิร์กนี้อยู่ระหว่างการพัฒนาอย่างต่อเนื่องมาเป็นเวลาอย่างน้อยหนึ่งปี ส่วน RedShell Linux beacon นั้นเพิ่งถูกเพิ่มเข้ามาในเวอร์ชัน 4.0

เฟรมเวิร์ก C2 นี้ยังมีฟีเจอร์ที่หลากหลาย โดยรองรับความสามารถดังต่อไปนี้ :

• การเข้าถึง Terminal
• การถ่ายโอนไฟล์
• การส่ง Payload แบบ Staged
• การเก็บรวบรวมข้อมูล
• การทำงานร่วมกับ Beacon หลายตัวพร้อมกัน
• การแสดงผังการเชื่อมต่อของเครือข่าย (Network Visualization)
• การทำ Tunneling ระหว่างเครื่องต่อเครื่อง
• การรัน Beacon Object Files (BOFs), .NET Assemblies และ Shellcode แบบ In-memory

 

Beacon เวอร์ชัน Linux เมื่อถูกติดตั้งลงบนเครื่องแล้ว จะเปิด Shell แบบ Interactive ผ่าน /bin/sh และเปิดใช้งานคำสั่งเฉพาะสำหรับ Linux เพื่อรองรับความสามารถดังต่อไปนี้

• การตรวจสอบข้อมูลของระบบ
• การจัดการไฟล์
• การเก็บรวบรวมข้อมูล เช่น SSH Keys และข้อมูลยืนยันตัวตนบนเบราว์เซอร์
• การสั่งรันคำสั่ง
• การสร้างช่องทางการเข้าถึงระบบ (Persistence)
• การรันไฟล์ ELF แบบ In-memory
• การทำ SOCKS5 Proxy
• การโจมตีต่อไปยังระบบอื่นในเครือข่าย

นอกจากนี้ยังมีการสร้างช่องทางติดต่อสื่อสารกับเซิร์ฟเวอร์ C2 และลงทะเบียนเครื่องที่ติดมัลแวร์ ด้วยการเก็บรวบรวมข้อมูลพื้นฐานของระบบ แล้วส่งออกไปในรูปแบบของ "Check-in Message" จากนั้นจะเข้าสู่ Loop สำหรับประมวลผลคำสั่ง เพื่อรับคำสั่งที่ส่งเข้ามาจากผู้ควบคุมระบบ นำไปเรียกใช้งานผ่าน /bin/sh และส่งผลลัพธ์กลับไป

Beacon เวอร์ชัน Windows และ macOS มีความสามารถในลักษณะใกล้เคียงกัน ทั้งการจัดการไฟล์, การตรวจสอบข้อมูลของเครื่อง Host และเครือข่าย, การ Enumerate ผู้ใช้งาน รวมถึงการเก็บรวบรวมข้อมูล โดย Beacon เวอร์ชัน Windows ยังมีความสามารถเพิ่มเติมที่เวอร์ชัน macOS ไม่มี ได้แก่ การ Bypass User Account Control (UAC), การตรวจจับซอฟต์แวร์แอนติไวรัส, การแทรกแซงการทำงานของซอฟต์แวร์แอนติไวรัส, การรันโค้ดแบบ In-memory และการทำ Lateral Movement

บนเว็บไซต์ Clearnet ที่ใช้ชื่อว่า Red Offsec กลุ่มผู้โจมตีอ้างว่า "Red C2 เป็นเฟรมเวิร์ก Command and Control ที่รองรับหลายภาษา และหลายระบบปฏิบัติการ ออกแบบมาสำหรับ Windows, Linux และ macOS โดยเฟรมเวิร์กทั้งหมดถูกสร้างขึ้นโดยยึดการหลบเลี่ยงการตรวจจับเป็นหลักการสำคัญ พร้อมนำเทคนิค และการพัฒนาล่าสุดในวงการ Offensive Security มาใช้งาน ซึ่งเปิดให้สั่งซื้อได้ในราคา 99.99 ดอลลาร์"

เงื่อนไขการให้บริการ (Terms of Service) ของ Red Offsec ระบุว่า ห้ามลูกค้านำเครื่องมือดังกล่าวไปใช้เพื่อการเข้าถึงคอมพิวเตอร์โดยไม่ได้รับอนุญาต, การเจาะระบบโดยไม่ได้รับอนุญาตอย่างชัดเจน และการใช้งานโดยมิชอบ, การโจมตี หรือการสร้างความเสียหายต่อระบบที่คุณไม่ได้เป็นเจ้าของ หรือไม่ได้รับอนุญาตให้ทดสอบไว้อย่างชัดเจน

โดยเงื่อนไขดังกล่าวระบุว่า "Red Offsec ให้บริการเครื่องมือที่มีจุดประสงค์สำหรับผู้เชี่ยวชาญด้าน Red Team และผู้ใช้งานที่มีความเข้าใจในเครื่องมือด้าน Offensive Security ภายใต้ขอบเขตทางกฎหมาย และจริยธรรม"

RedC2 ยังได้ขยายความสามารถของชั้นควบคุมระบบด้วยส่วนเสริมแบบ Command-line ที่เรียกว่า RedC2 EXT รวมถึงคอมโพเนนต์ที่ขับเคลื่อนด้วย Large Language Model (LLM) ที่ชื่อว่า Red Agent ซึ่งตัวหลังนี้ช่วยให้ผู้ควบคุมระบบสามารถสั่งการงานในขั้น Post-exploitation ที่มีความซับซ้อน เช่น การตรวจสอบเครือข่าย และการดึงข้อมูลยืนยันตัวตน (Credential Dumping) ได้ด้วยคำสั่ง natural language

Zahravi ระบุว่า "RedC2 มาพร้อมกับผู้ช่วย AI ที่ชื่อว่า Red Agent ซึ่งเป็นชั้นการสั่งรันคำสั่งที่ทำงานด้วย LLM โดยจะแปลงความต้องการในรูปแบบ natural language ให้กลายเป็นคำสั่ง Beacon ของเฟรมเวิร์ก" ขณะที่ Red Offsec อธิบายเครื่องมือดังกล่าวว่าเป็น "ระบบสั่งรันคำสั่งแบบ AI-powered ที่ออกแบบมาเฉพาะสำหรับการทำ Penetration Testing"

การค้นพบครั้งนี้ตอกย้ำให้เห็นว่า เฟรมเวิร์ก C2 ที่ผสานการทำงานร่วมกับ AI ซึ่งไม่เคยมีการบันทึกข้อมูลมาก่อน กำลังถูกเผยแพร่ผ่านแพ็กเกจ npm ที่เป็นอันตราย พร้อมกับลดกำแพงในการเข้าถึงเครื่องมือเหล่านี้ลงไปพร้อมกันด้วย

TrendAI ระบุว่า "ด้วยการโต้ตอบกับโมเดลที่ถูกปรับแต่งมาสำหรับปฏิบัติการแบบ Red Team ผู้ควบคุมระบบเพียงป้อน Prompt ในรูปแบบ natural language จากนั้นเฟรมเวิร์กจะแปลงข้อความเหล่านั้นให้กลายเป็นชุดคำสั่งที่นำไปใช้งานได้จริง การทำงานในลักษณะนี้ช่วยให้ผู้ควบคุมระบบที่มีทักษะแตกต่างกัน สามารถดำเนินการโจมตีที่ซับซ้อน และมีหลายขั้นตอนได้อย่างมีประสิทธิภาพ"

เหตุการณ์นี้เกิดขึ้นในช่วงเวลาไล่เลี่ยกับการโจมตีแบบ Supply Chain Attack แบบมีการประสานงานกัน ซึ่งส่งผลกระทบต่อ Rust Crate ที่ถูกต้องจำนวน 3 รายการ ได้แก่ arrayref@0.3.10, internment@0.8.7 และ append-only-vec@0.1.9 โดยมีการฝัง Dependency ที่เป็นอันตรายชื่อ proc-macro1 เข้าไป ซึ่งจะสั่งรันมัลแวร์แบบ Cross-platform โดยอัตโนมัติในระหว่างกระบวนการ Build ด้วย Cargo

มัลแวร์ดังกล่าวถูกออกแบบมาเพื่อเก็บข้อมูลรายละเอียดของเครื่องที่ติดมัลแวร์, จัดทำรายการเบราว์เซอร์ที่ทำงานบนพื้นฐานของ Chromium, สร้างช่องทางการเข้าถึงระบบ และติดต่อกลับไปยังโครงสร้างพื้นฐานที่อยู่ภายใต้การควบคุมของผู้โจมตีเพื่อรับคำสั่ง และดาวน์โหลด Payload เพิ่มเติม

ทั้งนี้คาดว่าข้อมูลยืนยันตัวตนสำหรับเผยแพร่แพ็กเกจของผู้ดูแลโปรเจกต์ถูกขโมยไป เพื่อใช้ในการอัปโหลดเวอร์ชันที่ถูกฝังโค้ดอันตรายขึ้นสู่ Repository ของแพ็กเกจ โดยหลักฐานชี้ให้เห็นถึงการใช้โครงสร้างพื้นฐานที่ทับซ้อนกับการโจมตีแบบ Supply Chain Attack ของซอฟต์แวร์ก่อนหน้านี้ ซึ่งมุ่งเป้าไปที่ Mastra และ Axios โดยทั้งสองเหตุการณ์เชื่อมโยงกับกลุ่มผู้โจมตีจากเกาหลีเหนือ

ที่มา : Thehackernews