תוקפים מנצלים את Node.js הלגיטימי כדי להפיץ נוזקות במתקפות ממוקדות

חוקרי Symantec Threat Hunter Team חשפו קמפיין תקיפה מתמשך שמנצל את סביבת ההרצה הלגיטימית והחתומה דיגיטלית של Node.js (node.exe) כדי להריץ סקריפטים זדוניים על מחשבי קורבנות. מכיוון שהקוד הזדוני יושב בתוך סקריפט מתפרש ולא בקובץ הרצה חתום בעצמו, כלים שמתבססים על חתימות נוטים לפספס אותו. הטכניקה נמצאת בשימוש מאז פברואר 2026 נגד גופי ממשלה, חברות טכנולוגיה ובתי מלון.

הפרטים

לפי Symantec, שרשרת התקיפה מתחילה לרוב בהנדסה חברתית מסוג ClickFix – חלון CAPTCHA מזויף באתר פגוע שמוביל את הקורבן להריץ פקודה בעצמו. לאחר מכן מותקן Node.js הרשמי מ-nodejs.org, וסקריפט זדוני מוטמע ומופעל דרכו, עם רישום בהפעלה אוטומטית (Registry Run key) שמריץ אותו מחדש בכל התחברות. לתקשורת עם שרתי הפיקוד נעשה שימוש בטכניקת EtherHiding – הצפנת כתובות שרת בתוך רשומות על גבי בלוקצ'יין Polygon, כך שחסימת דומיין או כתובת IP בודדת לא עוצרת את התוקף. הגורם Woodgnat (המכונה גם KongTuke), מתווך גישה ראשונית שזוהה בעבר בזיקה למספר קבוצות כופרה, נמצא בשימוש בחלק מהמתקפות להטמעת הנוזקות ModeloRAT ו-Mistic. Symantec מזהה לפחות 31 ארגונים שנפגעו בקמפייני ClickFix הקשורים, בהם חברת טכנולוגיה אסייתית וגוף פיננסי אמריקאי.

נקודות לשים לב

• הפעלה של node.exe עם ארגומנטים חשודים על שרת או תחנת קצה שאינם סביבת פיתוח – סימן אזהרה שכדאי לחקור.
• בדקו שינויים לא מוסברים במפתחות ההפעלה האוטומטית HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run.
• אם אין צורך עסקי אמיתי ב-Node.js בסביבות שאינן פיתוח – שקלו לחסום או להגביל את התקנתו, ולפלח גישת רשת לסביבות שכן זקוקות לו.
• הדריכו עובדים לזהות תבניות ClickFix – בקשה להעתיק ולהריץ פקודה כדי "לאמת" שהם לא רובוטים היא דגל אדום, לא נוהל לגיטימי.
• חסימת IP או דומיין בודד אינה מספיקה נגד תשתית פיקוד מבוססת בלוקצ'יין – נדרש ניטור התנהגותי של תהליכי הבן שנפתחים מ-node.exe, לא רק חסימת רשימות שחורות.

מקורות: The Hacker News · Symantec