Злоумышленники используют Node.js для доставки вредоносного ПО
По данным Symantec, с февраля 2026 года эту схему применяли в атаках на госструктуры, технологические компании и гостиницы. Легитимный подписанный runtime помогает запускать вредоносные JavaScript-скрипты и закрепляться в системе.
Злоумышленники всё чаще используют легитимную среду выполнения Node.js для развёртывания вредоносного ПО. Как сообщает Symantec Threat Hunter Team, этот приём применялся в атаках на государственные ведомства, технологические компании и гостиницы с февраля 2026 года.
Схема строится вокруг node.exe — подписанного исполняемого файла Node.js, который обычно используется разработчиками. Вместо отдельного вредоносного бинарника атакующие запускают интерпретируемые JavaScript-скрипты; для повторного запуска после входа пользователя в Windows они могут создать запись в разделе Run реестра. По оценке Symantec, такой подход способен реже привлекать внимание средств защиты, ориентированных на сигнатуры файлов.
В одной из атак на технологическую компанию в Азии, которую наблюдали с 23 марта по 25 июля, злоумышленники загрузили официальный установщик Node.js с nodejs.org. Затем они использовали runtime для установки импланта, рассчитанного на длительное присутствие в сети и получение команд либо дополнительных инструментов через EtherHiding. К этой схеме группа перешла после того, как попытки развернуть AdaptixC2 и Cobalt Strike были заблокированы. Первоначальный доступ в этом случае получили через социальную инженерию ClickFix.
Symantec также связывает использование node.exe с инструментами ModeloRAT и Mistic, также известным как MLTBackdoor. Эти семейства компания относит к активности брокера первоначального доступа KongTuke, или Woodgnat. В подобных цепочках применялись PowerShell, штатные средства командной строки Windows, вредоносное расширение Chrome NexShield и .NET-полезная нагрузка GateKeeper с многоуровневым шифрованием и проверкой характеристик жертвы.
Похожая цепочка была зафиксирована против американской финтех-организации. После доступа через ClickFix атакующие установили AdaptixC2 и Cobalt Strike Beacon, а более чем через два месяца — Rust-бэкдор C2Looper. Symantec не обнаружила в этом эпизоде признаков кражи учётных данных, перемещения по сети или разрушительных действий. Использование Node.js и Ethereum-блокчейна там также не подтвердилось, однако общие домены и сходство цепочек позволяют исследователям предполагать связь с теми же операторами.
Помимо этого, специалисты наблюдали атаки с Node.js-версией инфостилера AsukaStealer, EtherRAT и другими легитимными утилитами Microsoft и командной строки. Symantec считает, что Node.js используют группы с разным уровнем подготовки, сочетая штатные и двойного назначения инструменты с массовым вредоносным ПО и новыми бэкдорами.
ClickFix обычно убеждает пользователя скопировать и выполнить команду под видом исправления ошибки или проверки CAPTCHA. Отдельно GuidePoint Security сообщила о кампании, скомпрометировавшей как минимум 31 организацию: она выводила поддельные CAPTCHA на взломанных сайтах и использовала EtherHiding с блокчейном Polygon для поиска и смены инфраструктуры управления. Это позволяет операторам перенаправлять заражённые устройства на новый сервер управления без постоянной привязки к одному домену или IP-адресу.