LONDON (IT BOLTWISE) – Angreifer nutzen das signierte node.exe von Node.js als vertrauenswürdige Laufzeit, um schädliche Payloads über JavaScript bereitzustellen. Laut Symantec kommen dabei Techniken wie EtherHiding und mehrstufige Entschlüsselungspfade zum Einsatz, um persistente Zugriffe aufzubauen. In Kampagnen wie ClickFix werden zudem gefälschte CAPTCHA-Interaktionen genutzt, die Nutzer zur Ausführung riskanter Schritte bringen. Offenbar wählen die Täter bewusst eine Mischung aus „Living-off-the-Land“ und Dual-Use-Tools, um Erkennung zu umgehen.
Seit Februar 2026 berichten Sicherheitsforscher, dass Angreifer den „trusted“ Node.js-Stack als Transportmittel für Malware missbrauchen. Zentral ist dabei nicht irgendein exotisches Exploit-Konstrukt, sondern die vermeintliche Vertrauenswürdigkeit der Laufzeit: Der Binary node.exe, der Node.js ausführt, ist ein legitimes und signiertes Entwickler-Tool. Diese Signierung wirkt in vielen Umgebungen wie ein Sicherheitsfaktor, obwohl die eigentliche bösartige Logik als interpretierbares Skript im Userland läuft. Genau dieser Punkt macht die Methode für Angreifer attraktiv, denn die schädlichen Teile liegen in JavaScript statt in einem klassischen, signaturpflichtigen Binärpayload.
Technisch verknüpfen die Täter den Node.js-Prozess mit typischen Re-Launch-Mechanismen und einer Kettenarchitektur aus mehreren Utilities. In einem beobachteten Eindringversuch im Zeitraum vom 23. März bis zum 25. Juli 2026 luden Angreifer den offiziellen Node.js-Installer von nodejs[.]org herunter und nutzten dann den signierten Runtime-Kontext, um einen schädlichen Implant aufzuspielen. Damit konnten sie anschließend Befehle nachladen und Werkzeuge für weitere Schritte ziehen. Eine Rolle spielt dabei EtherHiding, das in den beschriebenen Attack-Chains als Strategie zur Tarnung und zur dynamischen Ermittlung der Command-and-Control-Umgebung eingeordnet wird. Die gleichen Angriffsmuster treten nicht isoliert auf, sondern werden als „Serienbaustein“ in verschiedenen Kampagnen wiederverwendet.
Ein weiterer Strang der Berichte betrifft die Wechselwirkung mit vorherigen gescheiterten Versuchen. Laut Symantec soll die Umstellung auf den Node.js-basierten Ablauf erfolgt sein, nachdem wiederholte Anläufe, AdaptixC2- und Cobalt-Strike-Beacons direkt in das Netzwerk zu bringen, blockiert wurden – obwohl der Zugang zunächst über Social Engineering zustande kam. Als Einstiegstechnik wird ClickFix genannt: Dabei erscheinen auf kompromittierten Seiten gefälschte CAPTCHA-ähnliche Verifikationsaufforderungen. Die erwartete Reaktion der Nutzer ist im Kern das Ausführen von Befehlen, die in den Windows Run Dialog oder in eine Terminal-Anwendung kopiert werden. Damit kompromittieren sich die Betroffenen effektiv selbst, wodurch klassische Abwehrmechanismen, die nur auf bekannten C2-Domains achten, deutlich schwerer greifen.
Was die Angriffe für Verteidiger zusätzlich unangenehm macht, ist die Werkzeugvielfalt. Symantec beschreibt mehrere Tools, die in solchen Intrusionen kombiniert werden: eine Node.js-Version eines Information-Stealers namens AsukaStealer, EtherRAT sowie weitere „legitime“ Microsoft- und Command-Line-Utilities. Außerdem tauchen Backdoor.Mistic, C2Looper und die neue Version von AsukaStealer als konkrete Bausteine auf. Besonders relevant ist GateKeeper als.NET-Payload mit geschichteter Verschlüsselung und Logik zur Fingerabdruck-Erkennung des Opfers. In einem Beispiel, in dem ein Rust-basiertes Backdoor-Modul namens C2Looper später als mehr als zwei Monate nach den ersten Ereignissen installiert wurde, gibt es zudem keine Hinweise auf Credential Theft, laterale Bewegung oder destructive Operationen. Das spricht dafür, dass die Angreifer je nach Zielsystem erst Stabilität schaffen und später erweitern – oder dass sie schlicht nicht bis in alle Endziele vorgedrungen sind.
Auch die C2-Strategie wird im Zusammenspiel aus ClickFix und „verschlüsselten“ Adressbüchern beschrieben. GuidePoint Security beschreibt, dass mindestens 31 Organisationen über ClickFix-Kampagnen kompromittiert worden sein sollen, unter anderem aus den Bereichen E-Commerce, professionelle Dienstleistungen und Einzelhandelslogistik. Die Kampagne sei dabei zweigeteilt: Einerseits wird die Website eines legitimen Unternehmens so manipuliert, dass die ClickFix-Lure sichtbar wird, andererseits werden ahnungslose Nutzer, die diese Seiten aufrufen, auf den Interaktionspfad gelenkt. Eine klassische Gegenmaßnahme – das Blockieren einer einzelnen C2-Adresse – greift laut GuidePoint nur eingeschränkt, weil die Täter Polygon als dynamisch aktualisierbares Adressverzeichnis nutzen. Dadurch kann die Zielzuordnung für infizierte Maschinen skalierend umgestellt werden, sodass ein einzelnes Domain- oder IP-Stoppen den Zugriff nicht dauerhaft beendet.
Für die Praxis bedeutet das: Es reicht nicht, nur die „bekannten“ Endpunkte oder Domains zu sperren. Empfohlen wird, öffentliche Websites kontinuierlich auf verdächtige Änderungen und bösartige Skripte zu prüfen, unautorisierte Browser-Extensions zu begrenzen und Security-Awareness-Training so aufzubauen, dass Mitarbeiter ClickFix-ähnliche Social-Engineering-Muster erkennen. Entscheidend ist zudem die Beobachtung der Prozessketten rund um node.exe: Wenn ein als legitime Runtime gestarteter Node.js-Prozess in kurzen Abständen zusätzliche Shell- oder PowerShell-Kommandos anstößt, Persistence über Registry Run Keys schreibt und parallel JavaScript-Payloads ausführt, steigt das Risiko sofort. Genau dort liegt der Hebel, um nicht nur „Indicators of Compromise“ zu jagen, sondern das Verhalten zu bewerten, das die Täter mit einer vertrauenswürdigen Signatur tarnt.
Für Unternehmen wird damit die eigentliche Botschaft dieser Berichte klar: Node.js ist als Plattform nicht gefährlich, aber die Angriffsmechanik nutzt Vertrauen, um Dual-Use-Werkzeuge und Commodity-Malware zu verschränken. Symantec fasst die Beobachtung sinngemäß so zusammen, dass Angreifer je nach Teamgröße und Skill-Level eine breite Palette einsetzen und Node.js deshalb wieder an Popularität gewonnen habe. Wer Abwehrmaßnahmen nur am Binärmuster oder an einzelnen C2-Zielen ausrichtet, verliert gegen Angreifer, die lieber Skripte, Laufzeitvertrauen und dynamische Adressierung zusammenbringen. Wer hingegen kontinuierlich überwacht, welche Aktivitäten node.exe im Kontext realer Angriffsabläufe auslöst, kann die Methode früh genug stoppen – bevor EtherHiding, GateKeeper und spätere Backdoor-Stufen überhaupt greifen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Angreifer missbrauchen Node.js: Signiertes node.exe als Malware-Startpunkt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Angreifer missbrauchen Node.js: Signiertes node.exe als Malware-Startpunkt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Angreifer missbrauchen Node.js: Signiertes node.exe als Malware-Startpunkt« bei Google Deutschland suchen, bei Bing oder Google News!