Attackers Turn Trusted Node.js Runtime Into Malware Delivery Tool in Targeted Attacks

Abus du runtime Node.js comme vecteur de déploiement de malwares

Des acteurs malveillants exploitent le binaire légitime et signé node.exe (Node.js) pour déployer des charges utiles malveillantes. Cette technique « Living-off-the-Land » permet aux attaquants de contourner les détections basées sur les signatures, car le code malveillant réside dans des scripts interprétés plutôt que dans des binaires suspects.

Points clés :

• Mode opératoire : Les attaquants utilisent des outils de développement légitimes pour établir un accès persistant, souvent après une compromission initiale via des techniques d’ingénierie sociale (ClickFix).
• Infrastructure résiliente : L’utilisation de la technologie « EtherHiding » (exploitation de la blockchain pour héberger des adresses de serveurs C2) rend le blocage des infrastructures de commande et contrôle extrêmement difficile, car les adresses peuvent être mises à jour dynamiquement.
• Outils associés : Cette méthode est corrélée à divers malwares, notamment C2Looper, Mistic (MLTBackdoor), AsukaStealer et EtherRAT.
• Cibles : Organismes gouvernementaux, entreprises technologiques et secteurs de la fintech.

Vulnérabilités :

• L’article ne mentionne pas de CVE spécifique, car il s’agit d’un abus de fonctionnalités légitimes (« dual-use tools ») plutôt que d’une exploitation de faille logicielle classique. La vulnérabilité réside ici dans la confiance accordée au binaire signé node.exe et dans la susceptibilité des utilisateurs face aux campagnes d’ingénierie sociale ClickFix.

Recommandations :

• Audit Web : Surveiller en continu les sites web publics pour détecter les injections de scripts malveillants ou les changements suspects (prévention des campagnes ClickFix).
• Contrôle des extensions : Restreindre strictement l’installation d’extensions de navigateur non approuvées (ex: NexShield).
• Éducation : Mettre en place des formations de sensibilisation à la cybersécurité pour aider les utilisateurs à identifier et refuser les invitations suspectes à copier-coller des commandes dans l’invite de commande ou la boîte de dialogue « Exécuter » de Windows.
• Surveillance système : Surveiller l’exécution inhabituelle de processus node.exe sur les postes de travail qui ne sont pas destinés au développement logiciel.

Source