Angripere henter Node.js fra offisiell kilde for å kjøre skadevaren sin

Symantecs Threat Hunter Team meldte 3. september 2026 at flere aktører bruker det signerte Node.js-miljøet til å kjøre skadevare og holde den i live. Angrepene har siden februar 2026 rammet offentlige etater, teknologiselskaper, hoteller og andre virksomheter. I ett innbrudd hos et asiatisk teknologiselskap ble nyttelaster fra AdaptixC2 og Cobalt Strike stoppet, hvorpå angriperne installerte Node.js fra det offisielle nettstedet og brukte det til å kjøre et implantat. Implantatet skal etter det som er kjent ha hentet styringsinformasjon fra Ethereum-blokkjeden, en teknikk kjent som EtherHiding.

I et annet angrep, mot et amerikansk fintechselskap, installerte angriperne Node.js for å rulle ut AdaptixC2, Cobalt Strike BEACON og til slutt en Rust-basert bakdør som kalles C2Looper.

Hva det betyr for deg som drifter endepunktsikkerheten

Poenget med et signert og velkjent kjøremiljø er at det ser ut som noe som hører hjemme på maskinen. Skadevaren ligger i et skript, og det som kjører er en fil med gyldig signatur fra en kjent utgiver. Sperrelister mot ukjente binærfiler hjelper lite når binærfilen er kjent. I det asiatiske tilfellet ble to kjente verktøy stoppet, og angriperne svarte med å hente et lovlig program i stedet. Det sier noe om hvor tilpasningsdyktige de er.

Vårt råd er å se på Node.js slik du ser på PowerShell. En uventet installasjon på en maskin der ingen utvikler, er et signal i seg selv. Har du utviklere, vet du hvilke maskiner som skal ha det, og resten kan varsles på. Trafikk mot blokkjedetjenester fra tjenere som ikke har noen grunn til det, er et annet spor verdt å følge.

Berigo anbefaler

• Lag en oversikt over hvilke maskiner som har legitim bruk for Node.js, og varsle på nye installasjoner utenfor den listen.
• Overvåk tilfeller der Node.js starter nettverksforbindelser eller underprosesser fra uvanlige kataloger.
• Blokker eller varsle på trafikk mot blokkjedetjenester fra tjenere og klienter som ikke trenger den.
• Sjekk om deteksjonsreglene for Cobalt Strike og AdaptixC2 også fanger dem når de kjøres gjennom et skriptmiljø.
• Øv på et scenario der angriperen bytter verktøy etter første blokkering, siden det er nettopp det som skjedde her.