node.exe devient un outil de malware

Ce qui se passe

L'équipe Symantec Threat Hunter (Broadcom) publie un rapport sur des intrusions qui utilisent Node.js comme moteur d'exécution de la charge malveillante. Rien n'est exploité : les attaquants téléchargent l'installateur officiel depuis nodejs.org, l'installent, puis font tourner leur JavaScript avec node.exe.

Trois propriétés rendent le procédé intéressant pour eux :

• node.exe est un binaire légitime et signé. Il ne déclenche rien en soi ;
• la charge vit dans des scripts interprétés, pas dans un exécutable — il n'y a pas de signature binaire à reconnaître ;
• une clé Run du registre relance le script à chaque ouverture de session.

Les campagnes visent des administrations, des entreprises technologiques et des hôtels depuis février 2026.

Le détail qui change la défense

L'adresse du serveur de commande n'est pas écrite en dur. Elle est lue sur une chaîne de blocs — technique dite EtherHiding. GuidePoint Security, qui suit une campagne ClickFix connexe ayant compromis au moins 31 organisations (e-commerce, services professionnels, logistique), décrit la conséquence sans détour : la blockchain Polygon sert de carnet d'adresses réinscriptible.

« Pour une fraction de centime par transaction, l'attaquant peut rediriger automatiquement chaque machine infectée vers un nouveau serveur C2 », explique le chercheur Jean-Pierre Mouton.

Bloquer un domaine ou une IP ne coupe donc plus l'accès de façon durable.

Les cas documentés

Le même mode opératoire est rattaché à l'initial access broker KongTuke (alias Woodgnat), déjà associé à ModeloRAT, Mistic (MLTBackdoor), à l'extension Chrome malveillante NexShield et au chargeur .NET GateKeeper. Autres outils croisés : AsukaStealer en version Node.js et EtherRAT.

Ce qu'on peut faire aujourd'hui

Il n'y a pas de correctif : ce n'est pas une faille de Node.js, c'est un détournement d'outil. La défense est donc de la détection et de l'hygiène.

• Chercher node.exe exécuté depuis un chemin inhabituel ou avec un script situé hors des dossiers de projet, et les clés Run qui le référencent.
• Auditer en continu les sites publics de l'organisation : ClickFix repose sur un script injecté qui affiche un faux CAPTCHA et fait copier-coller une commande dans la boîte Exécuter de Windows.
• Restreindre les extensions de navigateur non approuvées.
• Former les équipes à ce scénario précis : la victime exécute elle-même la commande, aucune alerte technique ne précède le geste.

À retenir

1. Un runtime de développement installé légitimement est aussi une surface d'exécution — le raisonnement vaut au-delà de Node.js.
2. L'indicateur de compromission n'est pas un domaine, c'est un comportement : node.exe hors contexte de développement, plus une persistance registre.
3. Vos propres sites peuvent être le vecteur sans que vous soyez la cible.

Source : The Hacker News