Node.js diventa cavallo di Troia: il runtime firmato che…

Symantec scopre attori di minaccia che abusano di node.exe, binario legittimo e firmato, per distribuire payload malevoli in attacchi a governo e tech. La fiducia

Gli attori di minaccia stanno convertendo Node.js da ambiente di sviluppo a piattaforma di consegna malware. Secondo il Symantec Threat Hunter Team, riportato da The Hacker News, dal febbraio 2026 operatori multipli hanno abusato del runtime legittimo e firmato per colpire dipartimenti governativi, aziende tecnologiche e hotel in Asia e Stati Uniti. La posta in gioco è la fiducia implicita che le difese endpoint riservano ai binari firmati: un principio di sicurezza che si è trasformato in vulnerabilità strutturale.

Punti chiave

Attori multipli abusano di node.exe, binario legittimo e firmato, per eseguire JavaScript malevolo interpretato anziché payload binari tradizionali.
Le vittime documentate includono dipartimenti governativi, aziende tecnologiche e hotel in Asia e Stati Uniti, con attività risalente a febbraio 2026.
La persistenza si ottiene registrando Node.js in chiavi di registro Windows Run, con C2 basato su blockchain Ethereum tramite la tecnica EtherHiding.
La stessa infrastruttura C2 collega intrusioni distinte, indicando possibile condivisione di risorse tra attori diversi.

Perché Node.exe è il perfetto cavallo di Troia

Il cuore della tattica sta nell'abuso della fiducia. Come ha dichiarato il Symantec Threat Hunter Team, citato da The Hacker News: "node.exe (the binary that runs Node.js) is a legitimate, signed developer tool". Questa legittimità formale significa che il binario non attiva allarmi nelle soluzioni EDR signature-based, che verificano firme e reputazione del file eseguibile.

Il passaggio decisivo è l'interpretazione al posto della compilazione. Il codice malevolo risiede in script JavaScript eseguiti dal runtime, non in un binario autonomo. Secondo Symantec, riportato da The Hacker News: "The attacker's malicious code lives in interpreted scripts rather than in a binary, making it less likely to trigger signature-based detection". Il modello di minaccia tradizionale, costruito per identificare payload compilati, resta cieco di fronte a un interprete che legge testo.

La persistenza completa il quadro. Gli operatori registrano Node.js in chiavi di registro Windows Run, garantendo il relancio a ogni login. La combinazione—binario fidato più script interpretato più hook di sistema standard—costituisce un living-off-the-land avanzato che non richiede compromissione di componenti vulnerabili.

La campagna: timeline, vittime e connessioni tra intrusioni

La finestra di attività documentata è precisa. L'intrusione contro un'azienda tecnologica asiatica si è svolta tra il 23 marzo e il 25 luglio 2026. Durante questo periodo, gli attaccanti hanno impiegato EtherHiding, tecnica che sfrutta gateway blockchain Ethereum per il comando e controllo, sfruttando la decentralizzazione per resilienza dell'infrastruttura.

Un secondo caso, contro una fintech statunitense, mostra una timeline più estesa. La prima attività risale al 6 maggio 2026, ma il deploy di C2Looper—backdoor in Rust documentata precedentemente da Zscaler—è avvenuto solo dopo oltre due mesi. Questo intervallo suggerisce attività di ricognizione e preparazione dell'ambiente prima dell'installazione del payload persistente.

Cryptika, riportando il dossier Symantec, evidenzia un dato di infrastruttura significativo: lo stesso dominio C2, datalayerservice, collega le due intrusioni. Questa sovrapposizione non dimostra necessariamente un unico gruppo, ma indica condivisione o riutilizzo di risorse tra operatori distinti. In un caso documentato, dopo il blocco del deploy di AdaptixC2 e Cobalt Strike Beacon, gli attaccanti hanno reagito scaricando l'installer ufficiale Node.js da nodejs.org—adattamento tattico che conferma familiarità con il tool.

Gli strumenti del toolkit: da AsukaStealer a KongTuke

Il panorama di malware distribuito tramite Node.js è eterogeneo. Contro hotel asiatici è stato osservato AsukaStealer in versione Node.js. È stato inoltre rilevato EtherRAT, trojan di accesso remoto anch'esso basato su blockchain. La varietà indica che la tecnica di delivery non è proprietaria di un singolo attore.

L'attribuzione parziale esiste per alcuni casi. ModeloRAT e Mistic (noto anche come MLTBackdoor) sono collegati all'Initial Access Broker KongTuke, alias Woodgnat. Questo IAB ha legami documentati con famiglie ransomware tra cui Qilin, Interlock, Rhysida, Akira, 8Base, Black Basta e Embargo. Tuttavia, Symantec sottolinea che la tecnica Node.js non è confinata a questo ecosistema: "attackers with a variety of skill levels may be using Node.js as it has returned to popularity", come riporta The Hacker News.

Il dossier non specifica se nei casi documentati sia avvenuta esfiltrazione effettiva di dati o movimento laterale successivo al deploy. Questi elementi rimangono non osservati o non confermati nel report Symantec.

"Attackers using Node.js appear happy to use a combination of both living-off-the-land and dual-use tools in their attacks, as well as commodity malware, and new tools" — Symantec Threat Hunter Team

Cosa fare adesso

Per le organizzazioni che operano con asset sensibili, quattro azioni prioritarie emergono dal pattern di attacco documentato.

Monitorare installazioni inaspettate di Node.js su endpoint non di sviluppo. La presenza del runtime su macchine di utenti finali, amministrazione o finanza deve generare allarme immediato. Questo è il primo indicatore di compromissione più affidabile nel pattern Symantec.

Ispezire le chiavi di registro Run per riferimenti a node.exe. La persistenza documentata passa esplicitamente per questo meccanismo. Un controllo regolare delle chiavi di avvio automatico, con attenzione ai percorsi che puntano a directory di installazione Node.js, intercetta la tecnica nota.

Analizzare il traffico verso endpoint blockchain RPC e gateway Ethereum. EtherHiding e EtherRAT dipendono da infrastruttura blockchain per C2. Il traffico verso gateway Ethereum da sistemi non autorizzati a interagire con reti distribuite è anomalo per definizione.

Rivedere le policy di whitelisting per distinguere binario da comportamento. La firma di node.exe non garantisce innocuità del processo. Le difese devono valutare cosa il runtime interpreta ed esegue, non solo la reputazione del file eseguibile.

Il problema più grande della fiducia implicita

La campagna Node.js non è una vulnerabilità software correttibile con patch. È l'esposizione di un presupposto architetturale: che i binari firmati siano sinonimo di comportamento lecito. Questo presupposto è sempre stato fragile, ma la combinazione con linguaggi interpretati e C2 blockchain lo rende inostenibile.

Il dato storico conta. Node.js era stato usato in operazioni di minaccia precedenti, poi era caldato di attenzione. Il suo ritorno, come nota Symantec, coincide con una maturazione delle tecniche di evasione: gli operatori combinano commodity malware, tool dual-use e innovazione proprietaria senza fedeltà a un unico stack. La domanda per i difensori non è più se un binario sia firmato, ma se il suo comportamento corrisponda al contesto previsto.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter