Hackers convierten el entorno de ejecución Node.js en una plataforma de lanzamiento de malware en ataques vinculados a ransomware

Los ciberdelincuentes están secuestrando cada vez más Node.js, el tiempo de ejecución de JavaScript ampliamente utilizado, para pasar código malicioso por encima de las defensas de seguridad, según los nuevos hallazgos del Equipo de Cazadores de Amenazas de Symantec. Desde febrero de 2026, múltiples actores de amenazas han abusado de la herramienta legítima y firmada digitalmente para ejecutar malware mientras evaden la detección, con víctimas que abarcan departamentos gubernamentales, empresas de tecnología y hoteles de Asia y Estados Unidos.

Node.js Runtime Into Malware Launcher En lugar de soltar un ejecutable malicioso convencional, los atacantes organizan el tiempo de ejecución genuino y lo usan para ejecutar JavaScript malicioso, manteniendo la lógica dañina oculta dentro de los scripts interpretados en lugar de un binario. La persistencia se logra registrando silenciosamente la herramienta en una clave de ejecución del registro de Windows, asegurando que se reinicie automáticamente cada vez que una víctima inicia sesión. El mismo grupo también violó una empresa fintech estadounidense, esta vez desplegando una backdoor basada en Rust llamada C2Looper, previamente documentada por Zscaler como malware probablemente utilizado para establecer puntos de apoyo para los operadores de ransomware antes del movimiento lateral. Desde febrero, varios actores con diferentes niveles de habilidad y objetivos, que van desde precursores de ransomware hasta robo de credenciales y criptomonedas, han adoptado el abuso de Node.js.

Debido a que la actividad maliciosa se oculta dentro de un tiempo de ejecución de confianza, los equipos de seguridad deben monitorear las instalaciones inesperadas de Node.js, las entradas inusuales del registro de claves de ejecución y el tráfico saliente a los puntos finales de RPC de blockchain como las puertas de enlace de Ethereum, todos signos inusuales en las máquinas que normalmente no deberían ejecutar herramientas de desarrollador. La publicación Hackers Turn Trusted Node.js Runtime Into Malware Launcher in Ransomware-Linked Attacks apareció primero en Cyber Security News.

Consultar publicación original ↗