Die Verteilung übernimmt laut den Forschern die Einstiegsdatei der Pakete, “dist/index.mjs”, die als Trojaner-Lader fungiert. “Sie exportiert die Datumshilfen erneut und startet den mitgelieferten Schädling, sobald das Modul geladen wird — ohne Installations-Hook und ohne dass eine exportierte Funktion aufgerufen werden muss”, erklärt Sicherheitsforscher Aliakbar Zahravi. Die Binärdatei trägt je nach Paket unterschiedliche Namen: math-core.bin, math-calc.bin, calc-math.dat, calc-cache.bin, calc.bin oder calc-mapping.bin. Sie liegt entweder direkt in “dist/” oder unter “dist/internal/” — der Inhalt ist stets derselbe.
RedC2 4.0 wurde nach den Angaben von TrendAI Anfang Juni 2026 von einem Akteur mit dem Namen “MarlboroMan” in Hack Forums angeboten und als Command-and-Control-Framework beschrieben, das “auf Umgehung von Erkennung ausgelegt” sei. Version 3.0 wurde im Januar verkauft, Version 2.0 erschien im August 2025 — das Framework befindet sich also seit mindestens einem Jahr in aktiver Entwicklung. Der RedShell-Beacon für Linux kam erst mit Version 4.0 hinzu.
Funktional ist das Framework breit aufgestellt: Terminalzugriff, Dateitransfer, gestaffelte Nachladeketten, Datensammlung, Betrieb mehrerer Beacons, Netzwerkvisualisierung, Tunneling zwischen Hosts sowie die Ausführung von Beacon Object Files, .NET-Assemblies und Shellcode im Speicher. Der Linux-Beacon öffnet eine interaktive Shell über “/bin/sh” und bietet Befehle zur Systemerkundung, für Dateioperationen, zum Abgreifen von SSH-Schlüsseln und Browser-Zugangsdaten, für Persistenz, ELF-Ausführung im Speicher, SOCKS5-Proxying und Netzwerk-Pivoting. Nach dem Start registriert er das infizierte System mit einer “Check-in-Nachricht” samt Basisinformationen und wechselt dann in eine Befehlsschleife.
Die Varianten für Windows und macOS decken ähnliches Terrain ab — Dateioperationen, Host- und Netzwerkaufklärung, Nutzer-Enumeration und Datenabgriff. Der Windows-Beacon bringt zusätzlich eine Umgehung der Benutzerkontensteuerung (UAC), Erkennung von Antiviren- und EDR-Produkten, Manipulation von Virenscannern, Ausführung im Speicher und Verfahren zur Seitwärtsbewegung mit, die der macOS-Version fehlen.
Auf einer im offenen Netz erreichbaren Seite unter dem Namen Red Offsec bewirbt der Akteur das Werkzeug für 99,99 Dollar als “mehrsprachiges, betriebssystemübergreifendes Command-and-Control-Framework für Windows, Linux und macOS”, das mit Erkennungsumgehung als Kernprinzip gebaut worden sei. Die Nutzungsbedingungen untersagen ausdrücklich “unbefugten Rechnerzugriff”, “Hacking ohne ausdrückliche Erlaubnis” sowie den “Missbrauch, die Ausnutzung oder Beschädigung von Systemen, die Ihnen nicht gehören oder für deren Prüfung Sie nicht autorisiert sind”.
Ergänzt wird die Steuerungsebene durch eine Kommandozeilen-Erweiterung namens RedC2 EXT und den Red Agent. “RedC2 wird mit einem KI-Assistenten namens Red Agent ausgeliefert, einer LLM-gestützten Befehlsausführungsschicht, die Absichten in natürlicher Sprache in Beacon-Befehle des Frameworks übersetzt”, so Zahravi. Damit ließen sich komplexe Aufgaben wie Netzwerkaufklärung oder das Auslesen von Zugangsdaten per Klartextanweisung orchestrieren. “Diese Abstraktion erlaubt es Operatoren unterschiedlichen Kenntnisstands, komplexe, mehrstufige Einbrüche effizient auszuführen”, schreibt TrendAI.
Kurz zuvor war ein koordinierter Lieferkettenangriff auf drei legitime Rust-Crates bekannt geworden: arrayref@0.3.10, internment@0.8.7 und append-only-vec@0.1.9 wurden mit einer bösartigen Abhängigkeit proc-macro1 versehen, die während Cargo-Builds automatisch plattformübergreifende Schadsoftware ausführte. Diese profiliert das Gerät, katalogisiert Chromium-basierte Browser, richtet Persistenz ein und meldet sich bei Angreifer-Infrastruktur, um Aufträge und weitere Nachladungen zu erhalten. Vermutet wird, dass die Veröffentlichungs-Zugangsdaten des Maintainers kompromittiert wurden; Überschneidungen in der Infrastruktur verweisen auf frühere Angriffe gegen Mastra und Axios, die nordkoreanischen Akteuren zugeschrieben werden.