Cibercriminosos estão abusando do Node.js, ambiente legítimo para execução de JavaScript, para instalar malware e manter acesso persistente em redes corporativas. A técnica vem sendo observada desde fevereiro de 2026 contra governos, empresas de tecnologia, hotéis e organizações financeiras.
O interesse dos atacantes está no node.exe, um binário legítimo e assinado. Em vez de executar diretamente um programa malicioso, os invasores usam o runtime para interpretar scripts JavaScript, dificultando algumas detecções baseadas em assinaturas.
Em um ataque contra uma empresa de tecnologia asiática, os criminosos recorreram ao Node.js depois que tentativas de instalar AdaptixC2 e Cobalt Strike foram bloqueadas pelas ferramentas de segurança. O acesso inicial ocorreu por ClickFix, técnica de engenharia social que induz a vítima a executar comandos maliciosos.
Posteriormente, o instalador oficial do Node.js foi baixado e utilizado para executar um implante persistente. O malware criou uma entrada no registro do Windows para iniciar o Node.js novamente a cada login.
O implante também realizou conexões com gateways da blockchain Ethereum, aparentemente para localizar comandos ou cargas adicionais escondidas em contratos inteligentes. A mesma abordagem foi relacionada a ferramentas como ModeloRAT, Mistic, EtherRAT e uma variante do AsukaStealer.
Algumas campanhas foram associadas ao operador de acesso inicial Woodgnat, também conhecido como KongTuke. Esse ecossistema já foi relacionado a operações envolvendo famílias de ransomware como Qilin, Interlock, Rhysida, Akira, 8Base, Black Basta e Embargo, embora o uso do Node.js não esteja limitado a um único grupo criminoso.
