Фахівці з кібербезпеки компанії Trend Micro виявили 14 троянізованих пакетів у публічному реєстрі npm, які видавали себе за бібліотеки для роботи з календарем та обчисленнями. Незважаючи на збереження заявленої функціональності, під час завантаження модулів у систему непомітно інсталюється замаскований виконуваний файл. Цей модуль запускає бэкдор RedShell для операційних систем Linux, який є частиною шкідливого інструментарію RedC2 версії 4.0.

Головною особливістю RedC2 4.0 є інтегрований модуль Red Agent на основі великої мовної моделі. Цей штучний інтелект перетворює звичайні текстові команди від нападників у складні інструкції для збору даних, викрадення облікових записів та переміщення всередині компрометованої мережі. Зловмисники розповсюджували ці пакети без необхідності виклику додаткових команд інсталяції — для зараження пристрою достатньо лише одного імпорту бібліотеки.