Cybercriminelen maken gebruik van de vertrouwde Node.js JavaScript runtime om kwaadaardige payloads te verspreiden in gerichte aanvallen. Volgens een nieuw rapport van het Symantec Threat Hunter Team worden deze aanvalsmethoden sinds februari 2026 ingezet tegen onder meer overheidsafdelingen, technologiebedrijven en hotels.

De aantrekkingskracht van deze techniek ligt in het feit dat node.exe, de uitvoerbare binary van Node.js, een legitiem en ondertekend ontwikkeltool is. De kwaadaardige code van de aanvallers bevindt zich in geïnterpreteerde scripts in plaats van in een binary, waardoor detectie op basis van handtekeningen minder waarschijnlijk is. Bovendien kan een registry Run key ervoor zorgen dat de payload bij elke aanmelding opnieuw wordt gestart. In een geobserveerde aanval tussen maart en juli 2026, gericht op een Aziatisch technologiebedrijf, werd de officiële Node.js installer van nodejs.org gedownload en gebruikt om een kwaadaardige implantaat te plaatsen die langdurige toegang mogelijk maakt en commando’s of tools ophaalt via een techniek genaamd EtherHiding.

De aanvallers schakelden over op deze methode nadat eerdere pogingen om AdaptixC2 en Cobalt Strike beacons te plaatsen werden geblokkeerd na initiële toegang via de ClickFix social engineering techniek. De techniek wordt ook gecombineerd met malware zoals ModeloRAT en Mistic (ook bekend als MLTBackdoor), die worden toegeschreven aan een initial access broker genaamd KongTuke (ook Woodgnat). Symantec meldde in juni 2026 dat de Woodgnat-aanvalsketens gekenmerkt worden door misbruik van node.exe om JavaScript van de aanvaller uit te voeren, PowerShell en Windows command-line tools te ketenen, en een kwaadaardige Chrome-extensie genaamd NexShield te gebruiken als onderdeel van een ClickFix-variant genaamd CrashFix.

Daarnaast wordt een .NET payload met de naam GateKeeper ingezet, die gelaagde encryptie en slachtoffer-fingerprinting bevat. Deze werkwijze is ook waargenomen bij een Amerikaanse fintech-organisatie, waar de aanval leidde tot de inzet van C2Looper, een Rust-gebaseerde backdoor die recent door Zscaler ThreatLabz is gedocumenteerd. De eerste activiteit dateert van 6 mei 2026, toen via ClickFix een AdaptixC2-agent en een Cobalt Strike Beacon werden geïnstalleerd. De installatie van C2Looper vond pas ruim twee maanden later plaats, zonder aanwijzingen voor diefstal van credentials, laterale bewegingen of destructieve acties. Het is onduidelijk of de aanvallers hun uiteindelijke doelen bereikten buiten het vestigen van een voet tussen de deur met de backdoor.

Hoewel in dat specifieke incident geen gebruik van Node.js in combinatie met de Ethereum blockchain werd waargenomen, wijzen gedeelde domeinen en overeenkomsten in de aanvalsketen erop dat dezelfde aanvallers verantwoordelijk zijn. Symantec stelt dat meerdere dreigingsactoren Node.js misbruiken in aanvallen, waarbij tools zoals een Node.js-versie van de informatieverzamelaar AsukaStealer, EtherRAT en legitieme Microsoft- en command-line utilities worden ingezet. De combinatie van living-off-the-land technieken, dual-use tools, commodity malware en nieuwe tools zoals Backdoor.Mistic, C2Looper en een nieuwe versie van AsukaStealer wijst erop dat aanvallers met verschillende vaardigheidsniveaus Node.js gebruiken, mede door de hernieuwde populariteit van deze runtime.