Kibertámadók többféle támadásban is kihasználják a megbízható Node.js JavaScript futtatókörnyezetet, hogy rosszindulatú kódot juttassanak célba.

A Symantec Threat Hunter Team ma közzétett új jelentése szerint a módszert 2026 februárja óta használják kormányzati szervezetek, technológiai cégek és szállodák elleni támadásokban.

„A technika vonzereje, hogy a node.exe (a Node.js-t futtató bináris) egy legitim, aláírt fejlesztői eszköz” – írja a Broadcomhoz tartozó kiberbiztonsági részleg a The Hacker Newsnak megosztott jelentésben. „A támadó rosszindulatú kódja értelmezett scriptekben fut, nem pedig binárisban, így kisebb eséllyel vált ki aláírásalapú észlelést, miközben egy registry Run kulcsbejegyzés minden bejelentkezéskor újra tudja indítani a kártékony kódot.”

Egy, 2026. március 23. és július 25. között megfigyelt betörés során – amely egy meg nem nevezett ázsiai technológiai céget célzott – a támadók a hivatalos Node.js telepítőt töltötték le a nodejs[.]org oldalról, majd a megbízható, aláírt futtatókörnyezetet használták fel egy rosszindulatú implantátum telepítésére. Ezzel tartós hozzáférést építettek ki, és parancsokat vagy eszközöket kértek le egy EtherHiding nevű technika segítségével.

A beszámolók szerint a támadók azért váltottak erre a megoldásra, mert a ClickFix nevű social engineering technikával megszerzett kezdeti hozzáférés után többszöri próbálkozás ellenére sem tudták telepíteni az AdaptixC2 és a Cobalt Strike beaconöket az áldozat hálózatára.

Érdekesség, hogy a módszert a ModeloRAT és a Mistic (más néven MLTBackdoor) mellett is alkalmazták. A szakértők szerint mindkettő egy KongTuke (más néven Woodgnat) nevű kezdeti hozzáférést értékesítő szereplőhöz köthető.

2026 júniusában a Symantec arról számolt be, hogy a Woodgnat támadási láncaira jellemző a „node.exe” visszaélésszerű használata támadói JavaScript futtatására, PowerShell- és Windows parancssori eszközök fűzésére, valamint egy NexShield nevű rosszindulatú Chrome-bővítmény bevetésére a CrashFix néven ismert ClickFix-variáns részeként. Egy másik, ezekben a támadásokban használt eszköz a GateKeeper nevű .NET payload, amely többrétegű titkosítást és áldozatazonosító logikát tartalmaz.

Ugyanilyen módszert figyeltek meg egy amerikai fintech cégnél is, ahol a támadás előkészítette a terepet a C2Looper telepítéséhez. A C2Looper egy Rust-alapú backdoor, amelyet a Zscaler ThreatLabz dokumentált a múlt hónapban. A legkorábbi észlelt aktivitás 2026. május 6-án történt: a támadók a ClickFix segítségével megszerzett lábat használták ki, hogy AdaptixC2 agentet és Cobalt Strike Beacon payloadot telepítsenek.

Figyelemre méltó, hogy a C2Looper telepítése több mint két hónappal az első események után történt, ugyanakkor nincs bizonyíték arra, hogy a támadók hitelesítő adatok ellopásával, oldalirányú mozgással vagy romboló műveletekkel próbálkoztak volna. Az sem világos, hogy elérték-e a végső céljaikat azon túl, hogy a backdoor segítségével tartós hozzáférést építettek ki.

„Bár ennél az incidensnél nem láttunk node.js használatot vagy kapcsolatot az Ethereum blokklánccal, a közös domainek és a támadási lánc hasonlóságai arra utalnak, hogy ugyanazok a támadók állnak a háttérben” – közölte a Symantec. „Valószínű, hogy ennél a szervezetnél azért nem láttunk Node.js-tevékenységet, mert a támadóknak sikerült egy backdoort telepíteniük.”

A kiberbiztonsági cég szerint több különböző fenyegető szereplő is kihasználja a Node.js-t támadásokban. Az ilyen behatolások során használt eszközök között van az AsukaStealer nevű információtolvaj Node.js-változata (AsukaStealer), az EtherRAT, valamint más, legitim Microsoft- és parancssori segédprogramok.

„A Node.js-t használó támadók láthatóan szívesen kombinálják a living-off-the-land és a kettős felhasználású eszközöket, emellett általánosan elérhető kártevőket, valamint új eszközöket, például a Backdoor.Misticet, a C2Loopert és az AsukaStealer új verzióját” – összegezte a Symantec. „Ez arra utal, hogy különböző tudásszintű támadók is használják a Node.js-t, mivel ismét népszerűvé vált.”

A mostani nyilvánosságra hozatal egybeesik a GuidePoint Security beszámolójával, amely szerint a támadók legalább 31 szervezetet – köztük e-kereskedelmi, professzionális szolgáltató és kiskereskedelmi logisztikai cégeket – kompromittáltak egy ClickFix kampányon keresztül. A kampány hamis CAPTCHA-ellenőrző ablakokat jelenít meg a feltört oldalakra érkező látogatóknak, majd egy tartós backdoort telepít, amely az EtherHiding technikát használja a parancs- és vezérlőszerver (C2) infrastruktúra felkutatására és a parancsok fogadására.

A kampány kétirányú, mert kétféle áldozatot érint: egyrészt a legitim vállalkozásokat, amelyek weboldalát úgy módosítják, hogy megjelenítse a ClickFix csalit, másrészt a gyanútlan felhasználókat, akik ezekre az oldalakra érkeznek.

„A ClickFix kártevőt hagyományosan úgy lehet hatástalanítani, hogy blokkolják a támadó C2 szerverét, és ezzel megszakítják a kapcsolatot a fertőzött gépekkel” – mondta Jean-Pierre Mouton, a GuidePoint Security kutatója nyilatkozatában. „Ebben a kampányban viszont ezt a védelmet megkerülik, mert a Polygon kriptovaluta-blockchaint használják dinamikusan frissíthető címjegyzékként.”

„Mivel ez a módszer lehetővé teszi a C2 adatok rugalmas, nagy tömegben történő módosítását, egyetlen domain vagy IP-cím blokkolása önmagában nem szakítja meg véglegesen a támadók hozzáférését. Tranzakciónként fillérekért a támadó automatikusan átirányíthat minden fertőzött gépet egy új C2 szerverre.”

Az elmúlt két évben a ClickFix és számos variánsa látványosan elterjedt. A céljuk az, hogy rávegyék a felhasználókat nem kívánt műveletek végrehajtására, miközben azt a látszatot keltik, hogy egy hibát kell javítani, vagy bizonyítani kell, hogy a felhasználó nem robot. A csali ablakban megjelenített parancsot a felhasználóval bemásoltatják a Windows Futtatás ablakba vagy a Windows Terminal alkalmazásba, így gyakorlatilag saját maga fertőzi meg a rendszerét.

A fenyegetés – és a hasonló támadások – ellen a szervezeteknek érdemes folyamatosan ellenőrizniük a nyilvánosan elérhető weboldalaikat gyanús módosítások vagy rosszindulatú scriptek után kutatva, korlátozniuk kell a nem engedélyezett böngészőkiegészítők használatát, és be kell vezetniük biztonságtudatossági képzéseket, hogy a dolgozók felismerjék a ClickFix jellegű social engineering trükköket.