Node.js als Malware-Verteilungsinstrument in ClickFix-Angriffen missbraucht

Sicherheitsforscher des Symantec Threat Hunter Teams haben einen Bericht veröffentlicht, der beschreibt, wie Angreifer die Node.js-JavaScript-Laufzeitumgebung missbrauchen, um versteckte Malware zu verteilen. Node.js ist eine beliebte kostenlose Plattform, die es Entwicklern ermöglicht, JavaScript-Code außerhalb eines Webbrowsers auszuführen. Die Datei, die sie startet, node.exe, trägt eine gültige digitale Signatur des Entwicklers. Da diese Datei ein vertrauenswürdiges, legitimes Entwicklerwerkzeug ist, wird sie von Sicherheitssoftware seltener markiert. Die Symantec-Forscher sagen, dass die Technik seit Februar 2026 gegen Regierungsbehörden, Technologieunternehmen und Hotels eingesetzt wurde.

Der Trick funktioniert, weil der bösartige Code nicht in der node.exe-Binärdatei selbst lebt. Stattdessen platzieren die Angreifer ihren Code in JavaScript-Dateien, die Node.js interpretiert und ausführt. Dieser Ansatz löst seltener signaturbasierte Erkennung aus, die normalerweise nach bekannten schädlichen Programmen sucht. Die Angreifer fügen auch einen Eintrag im Windows-Registrierungs-Run-Schlüssel hinzu, eine Einstellung, die ein Programm automatisch bei jeder Benutzeranmeldung startet, sodass das bösartige Skript nach jedem Neustart erneut ausgeführt wird. In einem Einbruch, der zwischen dem 23. März und dem 25. Juli 2026 gegen ein nicht näher bezeichnetes asiatisches Technologieunternehmen beobachtet wurde, luden die Angreifer das offizielle Node.js-Installationsprogramm direkt von nodejs.org herunter und verwendeten die signierte Laufzeitumgebung, um eine bösartige Implantation zu installieren. Diese Implantation gab den Angreifern langfristigen Zugriff und ermöglichte es ihnen, weitere Befehle und Werkzeuge mithilfe einer Technik namens EtherHiding abzurufen, die die Adresse des Kontrollservers des Angreifers in der Ethereum-Blockchain, einem öffentlichen digitalen Hauptbuch, speichert, sodass die Adresse geändert werden kann, ohne die Malware selbst zu aktualisieren.

Symantec berichtet, dass die Angreifer zu Node.js wechselten, nachdem ihre früheren Versuche, AdaptixC2- und Cobalt-Strike-Beacons einzusetzen, blockiert wurden. AdaptixC2 und Cobalt Strike sind kommerzielle Penetrationstest-Werkzeuge, die Angreifer häufig missbrauchen, um infizierte Computer zu kontrollieren. Die Angreifer hatten bereits ersten Zugriff mithilfe von ClickFix erlangt, einem Social-Engineering-Trick, der Opfern eine gefälschte Fehler- oder CAPTCHA-Aufforderung zeigt und sie bittet, einen Befehl zu kopieren und in den Windows-Dialog „Ausführen“ oder das Terminal einzufügen. ClickFix bringt Benutzer dazu, Malware auf ihren eigenen Maschinen zu installieren. Die gleiche Node.js-Technik wurde auch zusammen mit Malware-Familien namens ModeloRAT und Mistic, auch bekannt als MLTBackdoor, verwendet. Symantec stuft diese Werkzeuge als die Arbeit eines Initial-Access-Brokers namens KongTuke, auch bekannt als Woodgnat, ein. Ein Initial-Access-Broker ist eine kriminelle Gruppe, die in Netzwerke eindringt und diesen Zugang an andere Angreifer verkauft. Im Juni 2026 offenbarte Symantec, dass Woodgnat-Angriffsketten node.exe missbrauchen, um Angreifer-JavaScript auszuführen und dann PowerShell- und Windows-Befehlszeilenwerkzeuge zu verketten. Sie verwenden auch eine bösartige Chrome-Erweiterung namens NexShield als Teil einer ClickFix-Variante namens CrashFix. Ein weiteres Werkzeug, das in diesen Angriffen verwendet wird, ist eine .NET-Nutzlast namens GateKeeper, die mehrschichtige Verschlüsselung verwendet und Details über das System des Opfers überprüft, bevor sie ausgeführt wird.

Eine ähnliche Angriffskette wurde gegen eine US-amerikanische Fintech-Organisation beobachtet. Dieser Einbruch führte zur Bereitstellung von C2Looper, einem Backdoor, der in der Programmiersprache Rust geschrieben ist und letztes Monat von Zscaler ThreatLabz dokumentiert wurde. Die früheste Aktivität fand am 6. Mai 2026 statt, als die Angreifer ihren ClickFix-Fußabdruck nutzten, um einen AdaptixC2-Agenten und ein Cobalt-Strike-Beacon zu installieren. Der C2Looper-Backdoor wurde mehr als zwei Monate später installiert. Symantec fand keine Beweise dafür, dass die Angreifer Anmeldeinformationen gestohlen, sich zu anderen Systemen im Netzwerk bewegt oder destruktive Aktionen durchgeführt haben, und es ist unklar, ob sie ein anderes Ziel erreicht haben, als einen dauerhaften Fußabdruck zu etablieren.

Symantec stellt fest, dass mehrere Bedrohungsakteure Node.js ausnutzen. Zu den in diesen Einbrüchen beobachteten Werkzeugen gehören eine Node.js-Version eines Informationsdiebstahl-Programms namens AsukaStealer, ein Fernzugriffswerkzeug namens EtherRAT und legitime Microsoft- und Befehlszeilenprogramme. Die Forscher sagen, dass Angreifer gerne Living-off-the-Land-Techniken, die bereits auf dem Computer des Opfers installierte Werkzeuge missbrauchen, mit Dual-Use-Werkzeugen und Standard-Malware mischen. Sie schlussfolgern, dass Angreifer mit unterschiedlichen Fähigkeitsstufen Node.js verwenden könnten, weil die Laufzeitumgebung wieder an Popularität gewonnen hat.

In einer separaten, aber verwandten Offenlegung sagt GuidePoint Security, dass Angreifer mindestens 31 Organisationen, darunter E-Commerce-, professionelle Dienstleistungs- und Einzelhandelslogistikunternehmen, durch eine ClickFix-Kampagne kompromittiert haben. Diese Kampagne injiziert gefälschte CAPTCHA-Verifizierungsaufforderungen in legitime Websites. Wenn ein Besucher auf einer kompromittierten Website ankommt, zeigt die Website eine Aufforderung an, die den Besucher bittet, zu beweisen, dass er kein Roboter ist, indem er einen Befehl kopiert und einfügt. Wenn der Besucher den Anweisungen folgt, wird ein persistenter Backdoor installiert. Dieser Backdoor verwendet EtherHiding, um seinen Command-and-Control-Server in der Ethereum-Blockchain zu finden. GuidePoint-Forscher Jean-Pierre Mouton erklärte, dass herkömmliche ClickFix-Malware gestoppt werden kann, indem der Kontrollserver des Angreifers blockiert wird, aber diese Kampagne umgeht diese Verteidigung, indem sie die Polygon-Kryptowährungs-Blockchain als dynamisch aktualisierbares Adressbuch verwendet. Ein Angreifer kann die Adresse des Kontrollservers ändern, indem er eine sehr kleine Zahlung auf der Blockchain tätigt, sodass das Blockieren einer Domain oder IP-Adresse den Zugriff nicht dauerhaft unterbricht.

In den letzten zwei Jahren haben sich ClickFix und seine Varianten weit verbreitet. Der Angriff funktioniert, weil er Benutzer auffordert, etwas zu tun, das harmlos aussieht, wie das Beheben eines Fehlers oder das Bestehen eines Bot-Checks, aber der eingefügte Befehl lädt tatsächlich Malware herunter und führt sie aus. GuidePoint und Symantec empfehlen Organisationen, ihre öffentlich zugänglichen Websites kontinuierlich auf verdächtige Änderungen oder bösartige Skripte zu überprüfen, nicht genehmigte Browsererweiterungen einzuschränken und Mitarbeiter darin zu schulen, ClickFix-ähnliches Social Engineering zu erkennen. Für Website-Besitzer ist es wichtig, eine Website frei von injizierten Skripten zu halten, da eine kompromittierte Website die erste Stufe einer Infektion anderer wird. Die Nutzung eines verwalteten WordPress-Hosting-Dienstes wie AEU Hosting (https://albhosting.eu) kann Website-Besitzern eine zusätzliche Ebene kontinuierlicher Sicherheitsüberwachung bieten, um ihre öffentlich zugänglichen Websites sauber zu halten.