С февраля 2026 года злоумышленники вновь активно используют Node.js. Это открытая среда исполнения программ, написанных на JavaScript (язык программирования для веб-приложений). Официальный дистрибутив платформы устанавливают на компьютеры жертв. Через него запускают скрытые программы управления. Сами команды прячут в блокчейне Ethereum. Среди пострадавших уже есть государственные ведомства, технологические компании и отели в Азии. Техника известна давно, однако в последние месяцы она переживает заметное возвращение.
Описание
Причина возврата к этой технике в её легитимности. Node.js - подписанный инструмент разработчика, который программисты используют повседневно. Вредоносная логика размещается не в отдельном исполняемом файле, а в обычных текстовых сценариях. Поэтому проверка по известным образцам вредоносных файлов часто не срабатывает. Дополнительно злоумышленники добавляют запись в системный реестр. Она отвечает за автоматический запуск среды при каждом входе пользователя в систему. В результате присутствие сохраняется без участия человека. Защитные средства редко обращают внимание на активность инструмента, которым ежедневно пользуются программисты.
Один из показательных случаев произошёл в азиатской технологической компании. Атака длилась с марта по июль 2026 года. Почти каждая попытка развернуть вредоносную программу блокировалась. Под запрет попали и инструменты удалённого управления, включая открытую альтернативу Cobalt Strike. Тогда злоумышленники скачали официальный дистрибутив Node.js с сайта проекта. Через него они запустили программу скрытого управления. Она удерживалась в сети несколько месяцев. Кроме того, она регулярно обращалась к шлюзам блокчейна Ethereum. По данным Symantec Threat Hunter Team, так злоумышленники получали команды и дополнительные модули, спрятанные в смарт-контракте. Этот приём получил название EtherHiding. Перед запуском полезной нагрузки программа проверяла собственный внешний сетевой адрес. Такая проверка помогает понять, в какой сети она работает и стоит ли продолжать.
Тот же злоумышленник действовал и в американской финансово-технологической компании. Там применялась похожая цепочка. Сначала жертву обманом вынудили самостоятельно запустить команду (техника ClickFix). Затем последовали попытки внедрить инструменты удалённого управления. Финальной полезной нагрузкой стала вредоносная программа C2Looper, написанная на языке Rust. Ранее её описали в августе 2026 года и связали с атаками программ-вымогателей. Совпадение управляющей инфраструктуры указывает на одних и тех же исполнителей. В этом случае среда Node.js не понадобилась. Скорее всего, злоумышленникам удалось закрепиться другими средствами.
Удержание в сети продолжалось около одиннадцати недель. Всё это время присутствие поддерживал один сценарий, который запускался службой системы, а не действиями пользователя. В азиатской компании механизмов закрепления было два: сценарий, запускаемый службой, и среда Node.js, прописанная в автозапуск. Поэтому даже блокировка одного канала не приводила к потере контроля.
В ряде атак использовалась программа удалённого доступа ModeloRAT. Её написали на языке Python. По имеющимся оценкам, разработчиком выступает брокер первоначального доступа Woodgnat, известный также как KongTuke. Этого поставщика связывают с целым набором программ-вымогателей. В список входят Qilin, Interlock, Rhysida, Akira, 8Base, Black Basta и Embargo. В тех же кампаниях применялась новая скрытая программа доступа Backdoor.Mistic. Её использовали с апреля 2026 года, а цели выбирались без отраслевой привязки.
Состав инструментов оказался необычно широким. В мае 2026 года появилась версия AsukaStealer, написанная для Node.js. Это вредоносное ПО распространяется по модели "вредоносное ПО как услуга". Иными словами, его сдают в аренду другим группам. Оно похищает пароли, данные активных сессий и сведения о криптовалютных кошельках. Также оно делает снимки экрана и загружает дополнительный код. Основными целями стали несколько отелей в Азии. Кроме того, в мае и июне 2026 года применялась программа EtherRAT. Она тоже написана на Node.js и известна тем, что скрывает адреса управляющих серверов в смарт-контрактах.
Жертвами становились самые разные организации. Среди них государственные ведомства, отели, компании из сферы технологий, страхования, образования и профессиональных услуг. Набор инструментов показывает, что технику берут на вооружение группы разного уровня подготовки. Одни охотятся за учётными данными и криптовалютой. Другие действуют в интересах операторов программ-вымогателей. Старый приём не исчез, поскольку помогает обходить защиту и не требует сложных инструментов. Организациям стоит следить за появлением сред разработки на машинах, где они не используются. Полезно проверять записи автозапуска в системном реестре, ограничивать права рядовых сотрудников и своевременно обновлять программное обеспечение. Дополнительно помогают двухфакторная аутентификация и сегментация сети.
Индикаторы компрометации
