Hackers propagan virus a través del Node.js oficial y ocultan comandos en Ethereu

Cuando los malware habituales empezaron uno tras otro a toparse con las defensas, los atacantes encontraron un reemplazo inesperado. Descargaron el instalador oficial de Node.js desde nodejs.org y convirtieron la herramienta firmada para desarrolladores en un entorno para ejecutar código malicioso. Más tarde ese mismo proceso node.exe empezó a conectarse a Ethereum, desde donde el implante, supuestamente, recibía comandos y nuevos componentes.

Node.js en sí no fue comprometido. La estrategia se basaba en la confianza en un node.exe legítimo. La lógica maliciosa residía en scripts interpretados de JavaScript, no en el ejecutable sospechoso, lo que ayudaba a eludir las protecciones orientadas a firmas. Para persistir, los atacantes añadieron el inicio de Node.js en la clave Run del registro de Windows, tras lo cual el implante se iniciaba en cada inicio de sesión del usuario.

Una de las intrusiones más representativas comenzó el 23 de marzo en una empresa tecnológica asiática a partir de un equipo ClickFix. La víctima fue inducida a ejecutar un comando PowerShell, tras lo cual los atacantes intentaron varias veces instalar AdaptixC2 y el beacon Cobalt Strike. Las defensas bloquearon las cargas útiles, por lo que el 29 de marzo se descargó en el equipo el Node.js oficial. En mayo, a través de node.exe funcionó el módulo evasion.node, que permaneció activo hasta el 25 de julio.

Del 25 al 30 de junio node.exe se conectó casi a diario a gateways RPC públicos de Ethereum, LlamaRPC y Tenderly. Los investigadores consideran que el implante obtenía de allí la configuración de la infraestructura de mando y control o módulos adicionales mediante EtherHiding. Con ese enfoque, las direcciones y los comandos se esconden en contratos inteligentes de la cadena de bloques pública, por lo que los atacantes no tienen que depender únicamente de su propio servidor, que los defensores pueden bloquear rápidamente.

A los mismos operadores los vincularon con el ataque a una fintech estadounidense. Allí la cadena también empezó con ClickFix y PowerShell, pero acabó con la instalación del backdoor escrito en Rust C2Looper. Zscaler, con un nivel de confianza bajo o medio, relaciona el malware con operaciones de ransomware. Sin embargo, en la propia intrusión contra la fintech los investigadores no observaron cifrado de archivos, robo de credenciales ni movimiento lateral en la red.

El abuso de Node.js se observa desde al menos febrero de 2026. Entre los objetivos hubo organismos gubernamentales, empresas tecnológicas y hoteles en Asia. En otros episodios aparecieron la versión para Node.js de AsukaStealer, EtherRAT, ModeloRAT y un backdoor sigiloso llamado Mistic. ModeloRAT se asocia con el corredor de acceso inicial Woodgnat, también conocido como KongTuke, cuyas herramientas habían aparecido antes de ataques de Qilin y de otros grupos de ransomware.

El equipo Threat Hunter de Symantec registró el regreso de Node.js entre varios operadores, por lo que los investigadores no consideran que lo ocurrido sea una sola campaña.

El esquema muestra un punto débil de las defensas basadas en la reputación de archivos individuales. El origen oficial de node.exe no aporta información sobre los scripts que el proceso ejecuta, por lo que la instalación inusual de Node.js en una estación de trabajo y las conexiones de ese proceso a gateways de la cadena de bloques pueden ser indicios de ataque mucho más reveladores que la firma digital de la propia aplicación.