Node.js diventa un vettore malware: ClickFix, EtherHiding e backdoor eludono gli EDR

🛡️ Executive Summary

• Più gruppi criminali abusano dal febbraio 2026 del runtime firmato Node.js per eseguire JavaScript malevolo e ridurre l’efficacia delle detection basate su firme.
• Le intrusioni combinano ClickFix, PowerShell, persistenza nel registro, EtherHiding, AdaptixC2, Cobalt Strike, C2Looper, AsukaStealer e Backdoor.Mistic.
• La difesa richiede controllo comportamentale di node.exe, Run key, script anomali, connessioni blockchain RPC e installazioni Node.js inattese sui sistemi aziendali.

Node.js, uno degli ambienti di esecuzione JavaScript più diffusi nello sviluppo software, viene trasformato in un componente della catena malware proprio grazie alla sua natura legittima. La Symantec Threat Hunter Team ha osservato dal febbraio 2026 diversi attori installare o utilizzare node.exe, binario firmato e perfettamente lecito, per eseguire script malevoli, ottenere persistenza e collegarsi a infrastrutture di comando e controllo. Le vittime comprendono dipartimenti governativi, società tecnologiche, hotel e organizzazioni finanziarie. In alcuni casi gli aggressori sono passati a Node.js dopo che gli strumenti tradizionali, inclusi AdaptixC2 e Cobalt Strike, erano stati bloccati dagli strumenti di sicurezza.

Node.js funziona come interprete fidato per codice malevolo

La ricerca tecnica pubblicata dalla Symantec Threat Hunter Team descrive una tecnica semplice ma efficace: invece di depositare sul sistema un nuovo eseguibile palesemente malevolo, l’attaccante utilizza Node.js come interprete e sposta la logica offensiva dentro script JavaScript o file con estensioni non convenzionali. node.exe rimane quindi un programma legittimo e firmato, mentre è il contenuto interpretato a svolgere le attività ostili. Questo modello può ridurre l’efficacia delle difese concentrate principalmente sull’identificazione di binari sconosciuti o non firmati e appartiene alla stessa evoluzione delle tecniche living-off-the-land, nelle quali strumenti considerati affidabili vengono riutilizzati fuori dal loro contesto normale. Symantec sottolinea che non si tratta di una singola campagna: la tecnica è comparsa presso attori differenti, con competenze e obiettivi diversi, dal furto di credenziali fino ad attività potenzialmente preparatorie al ransomware.

Leggi anche: ClickFix usa 24 pacchetti npm come hosting fidato per false verifiche e phishing

ClickFix apre l’accesso e gli EDR bloccano AdaptixC2 e Cobalt Strike

Uno dei casi più dettagliati riguarda una società tecnologica asiatica compromessa il 23 marzo 2026. L’accesso iniziale presenta caratteristiche compatibili con ClickFix: un comando PowerShell offuscato viene avviato con explorer.exe come processo padre e scarica un secondo script destinato a mantenere l’accesso. Nelle settimane successive gli aggressori tentano più volte di distribuire AdaptixC2, ma le connessioni e i payload vengono bloccati. Il 29 marzo sul sistema viene quindi scaricato direttamente dal sito ufficiale di Node.js il normale installer del runtime, che prima dell’intrusione non risultava utilizzato abitualmente sulla macchina. Il passaggio è significativo perché mostra l’adattamento dell’attaccante alle difese: invece di insistere esclusivamente con beacon conosciuti, l’operatore introduce uno strumento affidabile e cambia la modalità di esecuzione. Il comportamento segue la stessa logica sociale osservata nelle campagne TerminalFix che trasformano falsi CAPTCHA in accessi persistenti alla rete aziendale: l’ingresso non dipende necessariamente dallo sfruttamento di una vulnerabilità, ma dalla capacità di far eseguire alla vittima il primo comando.

Il runtime viene rilanciato dal registro e mantiene l’accesso per mesi

Il 21 maggio, quasi due mesi dopo l’installazione, Symantec osserva l’esecuzione di un modulo nativo chiamato evasion.node insieme a una copia di node.exe grande circa 71 MB collocata nella cache di Windows Apps. Due minuti dopo viene creata una voce sotto HKCU\Software\Microsoft\Windows\CurrentVersion\Run, configurata per avviare node.exe attraverso conhost.exe --headless a ogni login e passargli un secondo file .dat. Quel file non è stato recuperato, quindi non è possibile stabilirne esattamente il contenuto, ma la modalità di esecuzione suggerisce la presenza del payload JavaScript o del bytecode interpretato dal runtime. Il componente evasion.node continua a essere eseguito a intervalli compresi tra circa 12 ore e cinque giorni fino al 25 luglio, segnale compatibile con un impianto persistente piuttosto che con un’attività manuale occasionale. La catena dispone inoltre di una seconda persistenza basata su PowerShell, creando due meccanismi indipendenti capaci di mantenere l’accesso anche dopo il blocco dei payload successivi.

EtherHiding sposta configurazione e C2 sulla blockchain Ethereum

Tra il 25 e il 30 giugno, il processo Node.js inizia a effettuare connessioni HTTPS verso gateway RPC della blockchain Ethereum, tra cui eth.llamarpc[.]com e mainnet.gateway.tenderly[.]co. Symantec valuta come altamente probabile l’utilizzo di EtherHiding, tecnica nella quale configurazioni, indirizzi C2 o payload vengono recuperati attraverso dati memorizzati o referenziati da smart contract. Dopo le comunicazioni con Ethereum, node.exe viene osservato collegarsi anche a un dominio ospitato su Cloudflare Workers, presumibilmente utilizzato come infrastruttura di comando e controllo. La tecnica riprende un modello già utilizzato da ClearFake per nascondere il proprio C2 dentro smart contract blockchain: invece di incorporare staticamente un dominio nel malware, l’operatore conserva sulla blockchain l’informazione necessaria a raggiungere l’infrastruttura successiva. Cambiare destinazione può quindi richiedere semplicemente l’aggiornamento del dato on-chain, senza modificare il payload distribuito sui sistemi compromessi.

AsukaStealer, EtherRAT e Mistic mostrano che non esiste un solo gruppo

L’abuso di Node.js non è limitato all’intrusione asiatica. Symantec ha individuato la stessa tecnica in attività contro hotel, organizzazioni governative e aziende di diversi settori, associandola a una combinazione molto ampia di strumenti. Compare per la prima volta una versione Node.js di AsukaStealer, malware-as-a-service capace di sottrarre credenziali, cookie, dati di sessione e informazioni sui wallet di criptovalute, acquisire screenshot e scaricare ulteriori payload. Viene inoltre utilizzato EtherRAT, RAT scritto in Node.js che impiega EtherHiding per aggiornare dinamicamente i propri server C2. Altre operazioni includono Backdoor.Mistic, ModeloRAT, PowerShell, Bitsadmin, strumenti nativi per Active Directory e utility commerciali legittime. La varietà conferma che node.exe non identifica da solo una famiglia malware né un singolo attore: è diventato un runtime dual-use inseribile in catene offensive differenti, allo stesso modo in cui ClickFix viene ormai combinato con loader, infostealer e tecniche di evasione EDR.

KongTuke e C2Looper collegano alcune intrusioni all’ecosistema ransomware

Una parte delle attività osservate presenta collegamenti con Woodgnat, conosciuto anche come KongTuke, initial access broker associato pubblicamente a intrusioni terminate con ransomware come Qilin, Interlock, Rhysida, Akira, 8Base, Black Basta ed Embargo. Symantec ritiene che ModeloRAT e probabilmente Backdoor.Mistic siano legati a questo ecosistema. In una società fintech statunitense gli attaccanti hanno utilizzato una catena simile, iniziata ancora una volta attraverso ClickFix e proseguita con AdaptixC2 e Cobalt Strike. In quel caso non è stato osservato l’impiego di Node.js, probabilmente perché gli aggressori erano riusciti a installare direttamente una backdoor Rust identificata come C2Looper. L’indirizzo 45.158.196[.]23:8888, rilevato durante l’incidente, corrisponde a un C2 precedentemente associato da Zscaler alla stessa famiglia. Symantec precisa però che non sono state osservate attività distruttive, furto di credenziali o movimento laterale nel caso specifico: il collegamento con ransomware descrive il contesto operativo dell’attore e degli strumenti, non dimostra che ogni compromissione Node.js termini automaticamente con cifratura dei sistemi.

Anche Polygon diventa un resolver dinamico per almeno 31 organizzazioni

Il ritorno di Node.js si inserisce in una trasformazione più ampia dell’infrastruttura C2. Una ricerca separata di GuidePoint Security ha individuato almeno 31 organizzazioni i cui siti sono stati compromessi per mostrare false verifiche “Verify you’re human” basate su ClickFix. La campagna utilizza la blockchain Polygon come una sorta di rubrica dinamica dalla quale il malware recupera l’indirizzo dell’infrastruttura C2. L’attaccante può aggiornare la destinazione attraverso una transazione dal costo minimo e reindirizzare contemporaneamente le installazioni compromesse verso un nuovo server. Bloccare il singolo dominio o IP diventa quindi insufficiente. È la stessa evoluzione osservata quando pacchetti npm compromessi hanno utilizzato transazioni Ethereum come resolver minimale del server C2: il malware conserva un riferimento stabile a una piattaforma decentralizzata, mentre l’infrastruttura operativa può cambiare alle sue spalle.

Continua con:

• StopAndProtect usa quasi 2.000 siti WordPress per ClickFix, ransomware e furto dati
• ClickFix su macOS usa fingerprinting server-side per nascondere Atomic Stealer

Difendere Node.js significa controllarne il comportamento e non bloccare il runtime

La risposta non consiste nel considerare Node.js malevolo, perché milioni di sistemi e pipeline di sviluppo lo utilizzano legittimamente. Il segnale utile nasce dal contesto. Su una workstation che non dovrebbe eseguire applicazioni JavaScript server-side, l’installazione improvvisa di node.exe, soprattutto dentro directory utente o cache insolite, rappresenta già un’anomalia. Diventano ancora più significativi Node.js avviato da PowerShell o conhost, copie rinominate del runtime, file .dat, .tmp, .ini o altre estensioni non convenzionali passate come script, nuove Run key, connessioni di node.exe verso gateway blockchain e la successiva creazione di processi PowerShell o cmd.exe. Symantec pubblica IOC per evasion.node, AdaptixC2, Cobalt Strike, AsukaStealer, Backdoor.Mistic e numerose infrastrutture osservate, ma la campagna dimostra perché la sola indicator-based detection non basta. Quando gli aggressori trasformano runtime firmati, blockchain pubbliche, servizi cloud e strumenti amministrativi in componenti della propria infrastruttura, la distinzione tra attività lecita e ostile passa sempre più dal comportamento complessivo della catena di esecuzione.