Kẻ tấn công lạm dụng Node.js để phát tán mã độc trong các chiến dịch có chủ đích
"Threat actors are abusing the legitimate Node.js runtime (node.exe) to execute malicious JavaScript and deploy payloads in targeted intrusions against government, technology, hotel, fintech, and other organizations. The activity is associated with ClickFix social engineering, EtherHiding-based C2 retrieval via blockchain, and malware families including AdaptixC2, Cobalt Strike, C2Looper, AsukaStealer, and Mistic; defenders are advised to monitor for suspicious Node.js execution, registry persistence, and compromised public-facing sites used to deliver fake CAPTCHA lures."
Rủi ro cao do lạm dụng công cụ hợp pháp để né phát hiện, duy trì truy cập bền vững và phân phối mã độc đa giai đoạn; cơ chế EtherHiding làm khó việc chặn C2 theo domain/IP.
Có thể gây gián đoạn vận hành, tăng chi phí ứng phó và ảnh hưởng uy tín nếu website công khai bị chèn nội dung lừa đảo; các ngành chính phủ, công nghệ, fintech và bán lẻ chịu tác động đáng kể.
Các nhóm tấn công đang lợi dụng Node.js runtime hợp pháp và tệp thực thi node.exe để chạy JavaScript độc hại và triển khai payload trong các xâm nhập có chủ đích nhắm vào cơ quan chính phủ, công ty công nghệ, khách sạn, fintech và một số lĩnh vực khác. Theo báo cáo của Symantec Threat Hunter Team, hoạt động này xuất hiện từ tháng 2/2026 và thường đi kèm kỹ thuật ClickFix để lừa người dùng tự thực thi lệnh, cùng cơ chế EtherHiding để truy xuất C2 qua blockchain.
Trong một vụ việc nhắm vào một doanh nghiệp công nghệ châu Á, kẻ tấn công tải bộ cài Node.js chính thức từ nodejs[.]org, sau đó dùng runtime này để duy trì truy cập và nhận lệnh từ hạ tầng điều khiển. Các công cụ và mã độc được ghi nhận gồm AdaptixC2, Cobalt Strike, C2Looper, AsukaStealer và Mistic. Một chiến dịch khác đã ảnh hưởng ít nhất 31 tổ chức, trong đó có e-commerce, dịch vụ chuyên nghiệp và logistics bán lẻ, bằng cách chèn trang giả CAPTCHA vào website bị xâm nhập.
Khuyến nghị: giám sát việc thực thi node.exe bất thường, kiểm tra Run key trong registry, rà soát website công khai bị chèn nội dung lừa đảo, và chặn/giám sát các hành vi tải công cụ dual-use hoặc kết nối tới hạ tầng C2 thay đổi động.