Atores de ameaça estão aproveitando o confiável runtime JavaScript Node.js em vários ataques cibernéticos para implantar payloads maliciosos.
Segundo um novo relatório divulgado hoje pela Symantec Threat Hunter Team, a técnica vem sendo usada desde fevereiro de 2026 em ataques contra órgãos governamentais, empresas de tecnologia e hotéis.
“O apelo da técnica está no fato de que o node.exe, o binário que executa o Node.js, é uma ferramenta legítima e assinada para desenvolvedores”, afirmou a divisão de cibersegurança da Broadcom em relatório compartilhado com a imprensa. “O código malicioso do invasor fica em scripts interpretados, e não em um binário, o que reduz a chance de acionar detecções baseadas em assinaturas. Além disso, uma entrada na chave Run do registro pode relançar o payload a cada login.”
Em uma intrusão observada entre 23 de março e 25 de julho de 2026, que teve como alvo uma empresa de tecnologia asiática não identificada, os invasores baixaram o instalador oficial do Node.js em nodejs[.]org e usaram o runtime confiável e assinado para implantar um implante malicioso, a fim de manter acesso de longo prazo e recuperar comandos ou ferramentas por meio de uma técnica chamada EtherHiding.
Segundo a apuração, os atores de ameaça passaram a adotar essa abordagem depois que tentativas repetidas de implantar beacons do AdaptixC2 e do Cobalt Strike na rede da vítima foram bloqueadas após o acesso inicial obtido por meio da técnica de engenharia social ClickFix.
De forma interessante, a técnica também foi usada em conjunto com ModeloRAT e Mistic, também conhecido como MLTBackdoor, ambos avaliados como trabalho de um corretor de acesso inicial chamado KongTuke, também conhecido como Woodgnat.
Em junho de 2026, a Symantec revelou que as cadeias de ataque do Woodgnat se caracterizam pelo abuso do “node.exe” para executar JavaScript do invasor e encadear ferramentas do PowerShell e da linha de comando do Windows, além de uma extensão maliciosa do Chrome chamada NexShield, como parte de uma variante do ClickFix batizada de CrashFix. Outra ferramenta empregada nesses ataques é um payload em .NET conhecido como GateKeeper, que traz criptografia em camadas e lógica de impressão digital da vítima.
O mesmo modo de operação foi observado contra uma organização de fintech nos Estados Unidos, com o ataque abrindo caminho para a implantação do C2Looper, um backdoor em Rust documentado pela Zscaler ThreatLabz no mês passado. A atividade mais antiga observada ocorreu em 6 de maio de 2026, quando os invasores exploraram o ponto de apoio conquistado via ClickFix para implantar um agente do AdaptixC2 e um Beacon do Cobalt Strike.
Vale destacar que a instalação do C2Looper ocorreu mais de dois meses após os eventos iniciais, embora não haja evidências de que os atores de ameaça tenham realizado roubo de credenciais, movimentação lateral ou operações destrutivas. Também não está claro se eles alcançaram seus objetivos finais além de estabelecer o ponto de apoio por meio do backdoor.
“Embora o uso de node.js e a conexão com a blockchain Ethereum não tenham sido observados nesse incidente, domínios compartilhados e semelhanças na cadeia de ataque indicam que os mesmos invasores estavam por trás da atividade”, afirmou a Symantec. “É provável que não tenhamos visto atividade do Node.js nessa organização porque os invasores conseguiram implantar com sucesso um backdoor.”
A empresa de cibersegurança disse que múltiplos atores de ameaça estão explorando o Node.js em ataques. Entre as ferramentas usadas nessas intrusões estão uma versão em Node.js de um infostealer chamada AsukaStealer, o EtherRAT e outros utilitários legítimos da Microsoft e da linha de comando.
“Os invasores que usam Node.js parecem satisfeitos em empregar uma combinação de técnicas living-off-the-land, ferramentas de uso duplo, malware pronto para uso e novas ferramentas, como Backdoor.Mistic, C2Looper e a nova versão do AsukaStealer”, concluiu a Symantec. “Isso indica que invasores com diferentes níveis de habilidade podem estar usando Node.js, já que ele voltou a ganhar popularidade.”
A divulgação ocorre no momento em que a GuidePoint Security informou que invasores comprometeram pelo menos 31 organizações, incluindo empresas de comércio eletrônico, serviços profissionais e logística varejista, por meio de uma campanha ClickFix que exibe falsas solicitações de verificação CAPTCHA para visitantes que acessam sites comprometidos e implanta um backdoor persistente que abusa do EtherHiding para localizar sua infraestrutura de comando e controle, ou C2, e receber comandos.
A campanha tem dois alvos, pois atinge dois tipos diferentes de vítimas: a empresa legítima, cujo site é adulterado para exibir a isca do ClickFix, e os usuários desavisados que acessam essas páginas.
“Tradicionalmente, o malware ClickFix pode ser neutralizado ao bloquear o servidor C2 do invasor, interrompendo a comunicação com as máquinas infectadas”, disse o pesquisador da GuidePoint Security Jean-Pierre Mouton. “Essa campanha contorna essa defesa ao usar a blockchain da criptomoeda Polygon como uma espécie de agenda de endereços atualizável dinamicamente.”
“Como isso permite ajustar detalhes de C2 de forma pontual e em escala, bloquear apenas um domínio ou endereço IP não corta de forma permanente o acesso do invasor. Por frações de centavo por transação, o invasor pode redirecionar automaticamente cada máquina infectada para um novo servidor C2.”
Nos últimos dois anos, o ClickFix e suas inúmeras variantes ganharam força justamente porque tentam induzir usuários a executar ações indesejadas sob o pretexto de corrigir um erro ou provar que não são bots. Para isso, exibem um comando na isca e orientam a vítima a copiá-lo e colá-lo na janela Executar do Windows ou no aplicativo Windows Terminal, comprometendo, na prática, seus próprios sistemas.
Para combater essa ameaça e outras semelhantes, a recomendação é que as organizações monitorem continuamente sites voltados ao público em busca de alterações suspeitas ou scripts maliciosos, restrinjam extensões de navegador não autorizadas e invistam em treinamento de conscientização em segurança para ajudar funcionários a reconhecer táticas de engenharia social no estilo ClickFix.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...