Cybercriminali sfruttano la fiducia nella runtime Node.js per distribuire malware sofisticati contro enti pubblici, aziende tecnologiche e hotel. Le campagne, attive dal febbraio 2026, aggirano i controlli di sicurezza e complicano la difesa delle infrastrutture digitali.
Bloccare un server di comando e controllo non basta più: i criminali informatici hanno imparato a sfruttare la legittimità di Node.js, la popolare runtime JavaScript, per mantenere il controllo sulle reti compromesse e aggirare le difese tradizionali. Da febbraio 2026, una serie di attacchi mirati ha colpito enti governativi, aziende tecnologiche e strutture alberghiere, sfruttando proprio la fiducia riposta in node.exe, il binario ufficiale e firmato di Node.js.
Il cuore della strategia è semplice quanto efficace: installare Node.js scaricandolo dal sito ufficiale nodejs[.]org, quindi utilizzarlo come cavallo di Troia per eseguire script malevoli che sfuggono ai controlli basati sulle firme digitali. Un attacco documentato tra marzo e luglio 2026 contro una tech company asiatica ha visto gli aggressori installare un impianto persistente tramite Node.js, sfruttando la tecnica EtherHiding per recuperare comandi e strumenti direttamente dalla blockchain Ethereum.
Come funziona la nuova catena di attacco
Gli attaccanti non si sono fermati davanti ai blocchi dei beacon AdaptixC2 e Cobalt Strike: dopo aver ottenuto l'accesso iniziale con la tecnica di social engineering ClickFix, hanno cambiato approccio, puntando su Node.js per eludere i sistemi di rilevamento. La persistenza viene garantita tramite chiavi Run nel registro di Windows, che rilanciano il payload ad ogni login, mentre la logica di fingerprinting e crittografia multilivello del payload .NET GateKeeper complica ulteriormente l'analisi forense.
Non si tratta di un caso isolato. Symantec ha rilevato l'uso di Node.js anche in combinazione con malware come ModeloRAT e Mistic (MLTBackdoor), attribuiti al broker di accesso iniziale KongTuke (Woodgnat). Le campagne CrashFix, variante di ClickFix, sfruttano anche estensioni Chrome malevole come NexShield, mentre la backdoor C2Looper, sviluppata in Rust, è stata distribuita in attacchi contro una fintech statunitense. In questi casi, la compromissione iniziale risale a maggio 2026, ma l'installazione della backdoor definitiva è avvenuta solo dopo due mesi, segno di una strategia di infiltrazione a lungo termine.
Difese aggirate e nuove tecniche di comando
La vera svolta è l'uso della blockchain Polygon come "rubrica" dinamica per i server di comando e controllo: anche bloccando un dominio, gli aggressori possono aggiornare in tempo reale gli indirizzi C2 a costi irrisori, mantenendo il controllo su tutte le macchine infette. GuidePoint Security ha confermato almeno 31 organizzazioni compromesse tramite campagne ClickFix che presentano falsi CAPTCHA e inducono gli utenti a eseguire comandi dannosi nel terminale Windows.
La varietà degli strumenti impiegati è ampia: versioni Node.js di infostealer come AsukaStealer, EtherRAT, utility Microsoft legittime e script PowerShell. Gli attaccanti alternano strumenti "living-off-the-land" e malware commodity, dimostrando che la popolarità di Node.js come vettore di attacco è ormai consolidata anche tra gruppi con livelli di competenza molto diversi.
Implicazioni per la sicurezza e raccomandazioni operative
Le aziende non possono più affidarsi solo al blocco dei domini malevoli o al rilevamento delle firme: la legittimità degli strumenti usati dagli attaccanti impone un cambio di paradigma. Symantec e GuidePoint Security raccomandano audit continui dei siti pubblici, restrizioni sulle estensioni browser non autorizzate e formazione specifica per riconoscere le trappole sociali come ClickFix. La mancata evidenza di furti di credenziali o movimenti laterali non deve trarre in inganno: la persistenza silenziosa è già un successo per chi orchestra queste campagne.
Quando una runtime pensata per sviluppatori diventa il fulcro di una catena di attacco globale, il confine tra software legittimo e minaccia si fa sottile. L'inerzia delle difese tradizionali, basate su blacklist e firme, viene messa a nudo da campagne che sfruttano strumenti di uso quotidiano per scopi malevoli. Chi non aggiorna le proprie strategie di detection e risposta rischia di scoprire troppo tardi di essere già stato compromesso: la fiducia cieca negli strumenti "trusted" è oggi il vero tallone d'Achille della sicurezza digitale.
