Bedreigingsactoren maken gebruik van de vertrouwde Node.js JavaScript-runtime bij meerdere cyberaanvallen als een manier om kwaadaardige ladingen in te zetten.
Volgens een nieuw rapport dat vandaag door het Symantec Threat Hunter Team is gepubliceerd, wordt de aanvalsmethode sinds februari 2026 gebruikt bij aanvallen gericht op overheidsdiensten, technologiebedrijven en hotels.
“De aantrekkingskracht van de techniek is dat node.exe (het binaire bestand waarop Node.js draait) een legitieme, ondertekende ontwikkelaarstool is”, aldus de cybersecurity-divisie van Broadcom in een rapport gedeeld met The Hacker News. “De kwaadaardige code van de aanvaller leeft in geïnterpreteerde scripts in plaats van in een binair bestand, waardoor het minder waarschijnlijk is dat er op handtekeningen gebaseerde detectie wordt geactiveerd, terwijl een sleutelinvoer in het register de payload bij elke login opnieuw kan starten.”
Bij één inbraak die tussen 23 maart en 25 juli 2026 werd waargenomen en die gericht was op een niet nader gespecificeerd Aziatisch technologiebedrijf, downloadden aanvallers het officiële Node.js-installatieprogramma van nodejs(.)org en gebruikten ze de vertrouwde, ondertekende runtime om een kwaadaardig implantaat in te zetten om langdurige toegang tot stand te brengen en opdrachten of tools op te halen met behulp van een techniek genaamd EtherHiding.
De dreigingsactoren zouden op deze aanpak zijn overgestapt nadat hun herhaalde pogingen om AdaptixC2- en Cobalt Strike-bakens op het netwerk van het slachtoffer in te zetten, werden geblokkeerd nadat ze aanvankelijke toegang hadden verkregen via de social engineering-techniek ClickFix.
Interessant is dat de techniek ook wordt gebruikt naast ModeloRAT en Mistic (ook bekend als MLTBackdoor), die beide worden beschouwd als het werk van een initiële toegangsmakelaar genaamd KongTuke (ook bekend als Woodgnat).
In juni 2026 maakte Symantec bekend dat Woodgnat-aanvalsketens worden gekenmerkt door misbruik van “node.exe” om JavaScript van de aanvaller uit te voeren en PowerShell- en Windows-opdrachtregelprogramma’s aan elkaar te koppelen, evenals een kwaadaardige Chrome-extensie genaamd NexShield als onderdeel van een ClickFix-variant genaamd CrashFix. Een ander hulpmiddel dat bij deze aanvallen wordt gebruikt, is een .NET-payload, bekend als GateKeeper, die beschikt over gelaagde versleuteling en logica voor vingerafdrukken van slachtoffers.
Dezelfde modus operandi is waargenomen bij een Amerikaanse fintech-organisatie, waarbij de aanval de weg vrijmaakte voor de inzet van C2Looper, een op Rust gebaseerde achterdeur die vorige maand werd gedocumenteerd door Zscaler ThreatLabz. De vroegst waargenomen activiteit vond plaats op 6 mei 2026, toen de aanvallers de via ClickFix verworven positie misbruikten om een AdaptixC2-agent en een Cobalt Strike Beacon in te zetten.
Het is vermeldenswaard dat de installatie van C2Looper meer dan twee maanden na de eerste gebeurtenissen plaatsvond, hoewel er geen bewijs is dat de dreigingsactoren zich bezighielden met diefstal van inloggegevens, zijdelingse verplaatsingen of destructieve operaties. Het is ook onduidelijk of ze hun einddoelen hebben bereikt, afgezien van het vestigen van voet aan de grond via de achterdeur.
“Hoewel het gebruik van node.js en de verbinding met de Ethereum-blockchain bij dat incident niet werd waargenomen, wijzen gedeelde domeinen en overeenkomsten in de aanvalsketen erop dat dezelfde aanvallers achter de activiteit zaten”, aldus Symantec. “Het is waarschijnlijk dat we geen Node.js-activiteit op deze organisatie hebben gezien, omdat de aanvallers met succes een achterdeur konden inzetten.”
Het cyberbeveiligingsbedrijf zei dat meerdere bedreigingsactoren Node.js exploiteren bij aanvallen. Enkele van de tools die bij deze inbraken worden gebruikt, zijn onder meer een Node.js-versie van een informatie-dief genaamd AsukaStealer, EtherRAT en andere legitieme Microsoft- en opdrachtregelhulpprogramma’s.
“Aanvallers die Node.js gebruiken, lijken bij hun aanvallen graag een combinatie te gebruiken van tools voor leven van het land en tools voor tweeërlei gebruik, evenals gewone malware en nieuwe tools zoals Backdoor.Mistic, C2Looper en de nieuwe versie van AsukaStealer”, concludeert Symantec. “Dit geeft aan dat aanvallers met verschillende vaardigheidsniveaus Node.js mogelijk gebruiken omdat het weer populair is geworden.”
De onthulling komt op het moment dat GuidePoint Security zei dat aanvallers ten minste 31 organisaties hebben gecompromitteerd, waaronder e-commerce, professionele dienstverlening en retaillogistiekbedrijven, via een ClickFix-campagne die valse CAPTCHA-verificatieprompts serveert aan bezoekers die op de getroffen sites aankomen en een hardnekkige achterdeur inzet die EtherHiding misbruikt om de command-and-control (C2)-infrastructuur te lokaliseren en opdrachten te ontvangen.
De campagne is tweeledig in die zin dat ze twee verschillende soorten slachtoffers oplevert: het legitieme bedrijf wiens website is geïnjecteerd om de ClickFix-lokmiddel weer te geven en nietsvermoedende gebruikers die op die sites terechtkomen.
“Traditioneel kan ClickFix-malware worden geneutraliseerd door de C2-server van de aanvaller te blokkeren, waardoor de communicatie met geïnfecteerde machines wordt verbroken”, zegt GuidePoint Security-onderzoeker Jean-Pierre Mouton. “Deze campagne omzeilt die verdediging door de cryptocurrency-blockchain van Polygon te gebruiken als een dynamisch bijwerkbaar adresboek.”
“Omdat het ad hoc aanpassing van C2-details op schaal mogelijk maakt, kan het blokkeren van een enkel domein of IP-adres alleen de toegang van aanvallers niet permanent verbreken. Voor een fractie van een cent per transactie kan de aanvaller elke geïnfecteerde machine automatisch omleiden naar een nieuwe C2-server.”
In de afgelopen twee jaar hebben ClickFix en zijn talrijke varianten een grote vlucht genomen, omdat ze tot doel hebben gebruikers te misleiden tot het uitvoeren van ongewenste acties onder het voorwendsel van het herstellen van een fout of het bewijzen dat ze geen bots zijn, door een opdracht uit de lokmiddel te kopiëren en deze in het Windows Run-dialoogvenster of de Windows Terminal-app te plakken, waardoor hun eigen systemen effectief in gevaar worden gebracht.
Om de dreiging en soortgelijke dreigingen te bestrijden, wordt organisaties aanbevolen om openbare websites voortdurend te controleren op verdachte wijzigingen of kwaadaardige scripts, niet-goedgekeurde browserextensies te beperken en beveiligingsbewustzijnstrainingen te introduceren om werknemers te helpen ClickFix-achtige social engineering-tactieken te herkennen.
