Juni 2026<\/a> von einem Bedrohungsakteur mit dem Pseudonym \u201eMarlboroMan“ auf Hack Forums beworben und als Command-and-Control-Framework beschrieben, das \u201eauf Umgehung ausgelegt“ sei.<\/p>\nBereits im Januar 2026 wurde Version 3.0 verkauft, Version 2.0 erschien im August 2025 \u2013 das Framework befindet sich also seit mindestens einem Jahr in aktiver Entwicklung. Das RedShell-Linux-Beacon wurde erstmals in Version 4.0 eingef\u00fchrt.<\/p>\n
Das C2-Framework unterst\u00fctzt Terminalsitzungen, Dateitransfer, gestaffelte Payload-Zustellung, Datensammlung, Multi-Beacon-Betrieb, Netzwerkvisualisierung, Host-zu-Host-Tunneling sowie die Ausf\u00fchrung von Beacon Object Files (BOFs), .NET-Assemblies und Shellcode direkt im Arbeitsspeicher. Die Linux-Variante des Beacons erlaubt zus\u00e4tzlich Systemerkennung, Zugriff auf SSH-Schl\u00fcssel und Browser-Anmeldedaten, Persistenzmechanismen, SOCKS5-Proxying sowie Network Pivoting.<\/p>\n
Red Agent: KI-gest\u00fctzte Befehlsausf\u00fchrung<\/h3>\n
Ein besonders auff\u00e4lliges Merkmal von RedC2 ist der integrierte KI-Assistent Red Agent<\/strong>. Dabei handelt es sich um eine LLM-gest\u00fctzte Befehlsschicht, die nat\u00fcrlichsprachliche Eingaben des Operators in Framework-Befehle \u00fcbersetzt. Der Betreiber kann komplexe Post-Exploitation-Aufgaben wie Netzwerkerkundung oder Credential-Dumping einfach per Text formulieren. Die Abstraktion erlaubt es auch weniger erfahrenen Angreifern, mehrstufige Eindringversuche effizient durchzuf\u00fchren.<\/p>\nAuf einer Clear-Web-Pr\u00e4senz namens Red Offsec<\/strong> wird das Tool f\u00fcr 99,99 US-Dollar angeboten. Die Nutzungsbedingungen verbieten zwar ausdr\u00fccklich den Einsatz f\u00fcr unbefugte Computerzugriffe und Hacking ohne Erlaubnis. Offensichtlich dienen diese Klauseln jedoch vor allem dem rechtlichen Schutz des Anbieters.<\/p>\nWeitere Bedrohungen aus der Lieferkette<\/h2>\n
Die Entdeckung der npm-Pakete reiht sich in eine Serie von Supply-Chain-Angriffen ein. Kurz zuvor waren drei legitime Rust-Crates (arrayref@0.3.10<\/strong>, internment@0.8.7<\/strong> und append-only-vec@0.1.9<\/strong>) kompromittiert worden. Angreifer hatten eine b\u00f6sartige proc-macro-Abh\u00e4ngigkeit eingeschleust, die w\u00e4hrend Cargo-Builds automatisch plattform\u00fcbergreifende Malware ausf\u00fchrte. Die Schadsoftware profilierte das infizierte Ger\u00e4t, erfasste Chromium-basierte Browser und etablierte Persistenz, um weitere Payloads nachzuladen.<\/p>\nHinweise deuten darauf hin, dass die Anmeldedaten des Maintainers kompromittiert wurden. Ermittlungen zeigen zudem \u00dcberschneidungen in der Infrastruktur mit fr\u00fcheren Angriffen auf die npm-Pakete Mastra und Axios, die beide mit nordkoreanischen Bedrohungsakteuren in Verbindung gebracht werden.<\/p>\n
Diese Vorf\u00e4lle unterstreichen eine besorgniserregende Entwicklung: Bislang kaum dokumentierte KI-integrierte C2-Frameworks werden zunehmend \u00fcber \u00f6ffentliche Paketregister verbreitet und senken gleichzeitig die Einstiegsh\u00fcrde f\u00fcr weniger versierte Angreifer. Die Kombination aus funktionaler Tarnung, automatischer Aktivierung ohne Install-Hook und der M\u00f6glichkeit, Befehle per nat\u00fcrlicher Sprache zu steuern, macht diese Bedrohung besonders schwer zu erkennen und abzuwehren. Unternehmen und Entwickler sollten die Vertrauensw\u00fcrdigkeit ihrer Abh\u00e4ngigkeiten noch strenger pr\u00fcfen, insbesondere bei Paketen, die scheinbar n\u00fctzliche Basisfunktionen bieten und aus kaum bekannten Quellen stammen.<\/p>\n","protected":false},"excerpt":{"rendered":"
Eine aktuelle Sicherheitsanalyse offenbart eine Serie von 14 trojanisierten npm-Paketen, die vorgeblich als funktionale Kalender- und Fortschrittsbibliotheken auftreten, tats\u00e4chlich aber eine KI-gest\u00fctzte Linux-Hintert\u00fcr namens RedC2 4.0 einschleusen. Die Pakete sind voll funktionsf\u00e4hig und erf\u00fcllen die versprochenen Datumsoperationen \u2013 unter dieser Tarnung versteckt sich jedoch ein bin\u00e4rer Schadcode, der als nativer Mathematik-Beschleuniger getarnt wird und beim […]<\/p>\n","protected":false},"author":5,"featured_media":0,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"","fifu_image_alt":"","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-49585","post","type-post","status-publish","format-standard","category-scherheit"],"_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49585","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=49585"}],"version-history":[{"count":3,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49585\/revisions"}],"predecessor-version":[{"id":49588,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/49585\/revisions\/49588"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=49585"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=49585"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=49585"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}