Node.js é explorado por criminosos para executar malware em ataques direcionados
O Node.js, conhecido por permitir a execução de aplicações JavaScript fora do navegador, passou a ser utilizado por grupos criminosos como parte de campanhas contra redes corporativas. Desde fevereiro de 2026, incidentes envolvendo governos, empresas de tecnologia, hotéis e instituições financeiras indicam uma tendência preocupante: o uso de ferramentas legítimas para carregar códigos maliciosos e preservar o acesso aos sistemas comprometidos.
A estratégia se apoia principalmente no arquivo `node.exe`, componente oficial, assinado digitalmente e normalmente associado a atividades de desenvolvimento. Em vez de lançar diretamente um executável suspeito, os invasores utilizam o ambiente Node.js para interpretar arquivos JavaScript. Essa abordagem pode dificultar mecanismos de segurança baseados exclusivamente em assinaturas, especialmente quando o script é baixado ou montado somente durante a execução.
Em um caso observado contra uma companhia asiática do setor de tecnologia, as ferramentas de proteção impediram a instalação do AdaptixC2 e do Cobalt Strike. Diante do bloqueio, os criminosos mudaram de método e recorreram ao Node.js para executar o implante. A entrada inicial ocorreu por meio do ClickFix, técnica de engenharia social que apresenta à vítima uma suposta correção ou procedimento legítimo e a convence a executar comandos fornecidos pelos atacantes.
Depois que o acesso foi obtido, o instalador oficial do Node.js foi baixado para o ambiente corporativo. A partir dele, os invasores executaram um componente persistente, evitando depender de binários desconhecidos e aumentando a aparência de legitimidade da operação. O malware ainda modificou o Registro do Windows para garantir que o Node.js fosse iniciado automaticamente sempre que o usuário fizesse login.
O implante também estabeleceu comunicação com gateways ligados à blockchain Ethereum. A finalidade aparente era consultar contratos inteligentes em busca de instruções, parâmetros de configuração ou cargas adicionais. O uso da blockchain nesse contexto pode dificultar a interrupção da infraestrutura criminosa, já que as informações não ficam necessariamente hospedadas em um servidor tradicional sob controle direto do atacante.
A mesma linha de ataque foi associada a ferramentas e famílias de malware como ModeloRAT, Mistic, EtherRAT e uma variante do AsukaStealer. Esses códigos podem ser empregados para coletar credenciais, extrair documentos, monitorar a atividade do usuário e preparar a rede para novas etapas da invasão.
Parte das campanhas foi relacionada ao operador de acesso inicial Woodgnat, também conhecido como KongTuke. O grupo já apareceu associado a operações que envolveram ransomware como Qilin, Interlock, Rhysida, Akira, 8Base, Black Basta e Embargo. Ainda assim, o uso do Node.js não deve ser atribuído exclusivamente a uma única organização, pois a técnica pode ser reutilizada por diferentes agentes com objetivos distintos.
Por que o Node.js é útil para os invasores
A popularidade da plataforma cria uma vantagem operacional para os criminosos. Em muitas empresas, o Node.js é instalado em computadores de desenvolvedores, servidores de integração, ambientes de testes e sistemas que executam aplicações web. Por isso, a presença do processo pode não ser considerada anormal à primeira vista.
Outro fator importante é a separação entre o interpretador e o script executado. O arquivo `node.exe` pode ser legítimo, enquanto o conteúdo malicioso permanece em um arquivo JavaScript armazenado em uma pasta temporária, no perfil do usuário ou em um diretório utilizado por ferramentas de desenvolvimento. A análise precisa, portanto, examinar a cadeia completa de execução, e não apenas a reputação do binário.
Também é possível abusar de parâmetros da linha de comando, bibliotecas baixadas em tempo de execução e scripts ofuscados. Com isso, o invasor reduz a quantidade de artefatos claramente suspeitos no disco e pode modificar o comportamento do implante sem substituir o executável principal.
Como as empresas podem reduzir o risco
A defesa deve começar pelo controle de instalações. Organizações precisam manter um inventário atualizado das versões do Node.js presentes na rede e identificar quais usuários, servidores e aplicações realmente dependem da ferramenta. Instalações sem justificativa operacional devem ser removidas ou bloqueadas.
Políticas de controle de aplicações podem permitir o uso do `node.exe` apenas em diretórios e contas autorizados. É recomendável observar execuções originadas de locais incomuns, como pastas temporárias, diretórios de download, perfis de usuários e caminhos associados a anexos de e-mail.
O monitoramento comportamental também é essencial. Alertas devem ser gerados quando o Node.js inicia processos do sistema, modifica chaves de inicialização automática, acessa credenciais, realiza conexões externas incomuns ou se comunica com serviços relacionados a blockchain. A combinação desses eventos é mais relevante do que qualquer indicador isolado.
No Windows, a análise do Registro deve incluir chaves de execução automática, tarefas agendadas, serviços recém-criados e outros mecanismos de persistência. Equipes de segurança também devem revisar logs de PowerShell, criação de processos, downloads executáveis e alterações em diretórios de aplicações.
A proteção contra engenharia social continua sendo decisiva. Campanhas de treinamento precisam explicar que páginas de “correção rápida” ou instruções para colar comandos no sistema podem fazer parte de um ataque. Usuários não devem executar comandos recebidos em pop-ups, mensagens, chamadas ou páginas desconhecidas.
Por fim, o bloqueio de indicadores associados à infraestrutura maliciosa deve ser combinado com segmentação de rede, autenticação multifator, privilégios mínimos e cópias de segurança protegidas contra alteração. Como o Node.js é uma ferramenta legítima, a resposta mais eficaz não consiste necessariamente em bani-lo, mas em controlar onde, por quem e com quais parâmetros ele pode ser executado.