مهاجمان Node.js را به مسیری برای اجرای پیلودهای مخرب تبدیل کردند
بر اساس گزارش Broadcom، یکی از دلایل استفاده مهاجمان از این روش، معتبر بودن node.exe است.node.exe باینری اجرای Node.js است که به‌عنوان یک ابزار توسعه‌دهنده قانونی و دارای امضای دیجیتال شناخته می‌شود.
در این روش، کد مخرب مهاجم به‌جای قرار گرفتن در یک باینری مستقل، در قالب اسکریپت‌های جاوااسکریپت اجرا می‌شود. به همین دلیل، شناسایی این کدها با روش‌های تشخیص مبتنی بر امضا دشوارتر است.
همچنین مهاجمان می‌توانند با ایجاد یک ورودی در کلید Run رجیستری ویندوز، پیلود مخرب را طوری تنظیم کنند که با هر بار ورود کاربر به سیستم، به‌طور خودکار اجرا شود.
در یکی از نفوذهای شناسایی‌شده که بین 23 مارس تا 25 جولای 2026 علیه یک شرکت فناوری در آسیا انجام شد، مهاجمان ابتدا نصب‌کننده رسمی Node.js را از وب‌سایت این پروژه دانلود کردند.
سپس آن‌ها از محیط اجرای معتبر و دارای امضای دیجیتال برای استقرار یک ایمپلنت مخرب استفاده کردند. این اقدام به مهاجمان امکان داد دسترسی بلندمدتی به سیستم قربانی ایجاد کنند و دستورات و ابزارهای موردنیاز خود را در اختیار داشته باشند.
مهاجمان در ادامه برای دریافت اطلاعات مربوط به زیرساخت ارتباطی و دریافت دستورات، از تکنیکی به نام EtherHiding استفاده کردند؛ روشی که امکان پنهان‌سازی و دریافت اطلاعات موردنیاز برای ارتباط با زیرساخت مهاجم را فراهم می‌کند.
تغییر تاکتیک مهاجمان پس از مسدودسازی C2
مهاجمان ابتدا با استفاده از تکنیک مهندسی اجتماعی (Social Engineering) موسوم به کلیک‌فیکس به شبکه قربانی دسترسی پیدا کردند. سپس چندین بار تلاش کردند بیکن‌های (Beacons) مربوط به AdaptixC2 و Cobalt Strike را در شبکه مستقر کنند، اما سامانه‌های امنیتی این تلاش‌ها را شناسایی و مسدود کردند.
مهاجمان پس از ناکامی در استقرار این ابزارها، روش خود را تغییر دادند و به استفاده از Node.js روی آوردند؛ به این ترتیب، به‌جای استقرار مستقیم ابزارهای شناخته‌شده، از یک محیط اجرای قانونی و مورداعتماد برای اجرای کدهای مخرب خود استفاده کردند.
جالب اینکه همین تکنیک در حملات مرتبط با ModeloRAT و Mistic نیز به کار گرفته شده است؛ Mistic با نام MLTBackdoor هم شناخته می‌شود. بررسی‌ها نشان می‌دهد هر دو بدافزار احتمالاً به یک کارگزار دسترسی اولیه با نام KongTuke، معروف به Woodgnat، نسبت داده می‌شوند.
Symantec در ژوئن 2026 اعلام کرد زنجیره حملات مرتبط با Woodgnat شامل سوءاستفاده از node.exe برای اجرای کدهای جاوااسکریپت (JavaScript) مهاجم است. در ادامه این زنجیره، مهاجمان پاورشل (PowerShell) و ابزارهای خط فرمان (Command-Line) ویندوز را نیز برای اجرای دستورات و پیشبرد فعالیت‌های خود به کار می‌گیرند.
در یکی از گونه‌های کلیک‌فیکس با نام کرش‌فیکس (CrashFix) نیز مهاجمان از یک افزونه مخرب کروم به نام NexShield استفاده کرده‌اند. ابزار دیگری که در این حملات به کار گرفته شده، پیلود مبتنی بر .NET با نام گیت‌کیپر (GateKeeper) است. این پیلود از رمزنگاری چندلایه برای محافظت از کد خود استفاده می‌کند و با بررسی ویژگی‌های سیستم هدف، اطلاعات لازم را برای شناسایی و ارزیابی دستگاه قربانی جمع‌آوری می‌کند.
همین الگوی عملیاتی در حمله‌ای علیه یک سازمان فین‌تک (Fintech) در ایالات متحده نیز مشاهده شده است. این حمله در نهایت زمینه را برای استقرار C2Looper فراهم کرد. C2Looper یک بکدور مبتنی بر زبان Rust است که ماه گذشته توسط تیم Zscaler ThreatLabz مستندسازی شده بود.
قدیمی‌ترین فعالیت مشاهده‌شده در این رخداد به 6 می 2026 بازمی‌گردد. مهاجمان پس از به‌دست‌آوردن دسترسی اولیه از طریق تکنیک مهندسی اجتماعی کلیک‌فیکس، یک عامل اجرایی (Agent) از AdaptixC2 و یک بیکن از Cobalt Strike را روی سیستم قربانی مستقر کردند.
نکته قابل توجه این است که C2Looper بیش از دو ماه پس از رخدادهای اولیه در سیستم قربانی مستقر شد. با این حال، هیچ شواهدی از سرقت اطلاعات احراز هویت، حرکت جانبی (Lateral Movement) یا انجام فعالیت‌های مخرب مشاهده نشده است. همچنین مشخص نیست مهاجمان پس از ایجاد دسترسی پایدار از طریق این بکدور، توانسته‌اند به اهداف نهایی خود دست پیدا کنند یا خیر.
شواهد ارتباط با فعالیت‌های مهاجمان
بر اساس اعلام Symantec، در این رخداد هیچ نشانه‌ای از استفاده از Node.js یا ارتباط با بلاک‌چین اتریوم مشاهده نشد. با این حال، وجود دامنه‌های مشترک و شباهت در زنجیره حمله نشان می‌دهد که این فعالیت احتمالاً توسط همان مهاجمان انجام شده است.
Symantec معتقد است یکی از دلایل احتمالی مشاهده‌نشدن این فعالیت آن است که مهاجمان توانسته‌اند با موفقیت یک بکدور را در سیستم قربانی مستقر کنند. در نتیجه، پس از ایجاد دسترسی از طریق بکدور، دیگر نیازی به استفاده از این روش برای ادامه فعالیت‌های خود نداشته‌اند.
استفاده گسترده عوامل تهدید از Node.js
Symantec اعلام کرده است که چندین عامل تهدید در حملات خود از Node.js استفاده می‌کنند. در میان ابزارهای شناسایی‌شده، نسخه‌ای از رباینده اطلاعات (Information Stealer) با نام AsukaStealer که برای اجرا روی این محیط توسعه یافته، EtherRAT و همچنین برخی ابزارهای قانونی مایکروسافت و ابزارهای خط فرمان ویندوز مشاهده شده‌اند.
بر اساس جمع‌بندی Symantec، مهاجمان در این حملات از ترکیبی از تکنیک اجرای دستورات با استفاده از ابزارهای قانونی موجود در سیستم، ابزارهای دوکاربردی، بدافزارهای رایج و ابزارهای جدیدتری مانند بکدور Mistic، C2Looper و نسخه جدید AsukaStealer استفاده کرده‌اند.
این الگوی حمله نشان می‌دهد که مهاجمان با میزان مهارت فنی متفاوت می‌توانند از این محیط اجرا در عملیات خود استفاده کنند؛ موضوعی که از افزایش دوباره توجه مهاجمان به این فناوری در حملات سایبری حکایت دارد.
هم‌زمان با انتشار این یافته‌ها، شرکت GuidePoint Security اعلام کرد که در جریان یک کمپین کلیک‌فیکس، دست‌کم 31 سازمان هدف حمله قرار گرفته‌اند. این سازمان‌ها در حوزه‌هایی مانند تجارت الکترونیک، سرویس‌های حرفه‌ای و زنجیره تأمین و لجستیک فروش فعالیت می‌کردند.
در این کمپین، مهاجمان ابتدا به وب‌سایت‌های قانونی نفوذ می‌کنند و با تزریق محتوای مخرب، پیام کپچای جعلی (Fake CAPTCHA) را به بازدیدکنندگان نمایش می‌دهند. این پیام به‌گونه‌ای طراحی شده است که کاربر تصور کند برای تکمیل فرآیند تأیید یا رفع یک خطا، باید دستور نمایش‌داده‌شده را اجرا کند.
در مرحله بعد، کاربر با کپی‌کردن دستور و واردکردن آن در پنجره اجرای ویندوز یا ترمینال ویندوز (Windows Terminal)، ناخواسته دستور مخرب را اجرا کرده و زمینه اجرای کد مخرب روی سیستم خود را فراهم می‌کند. سپس مهاجمان یک بکدور پایدار روی سیستم مستقر می‌کنند. این بکدور با استفاده از تکنیک EtherHiding، اطلاعات مربوط به زیرساخت فرماندهی و کنترل (C2) را شناسایی کرده و دستورات مهاجمان را دریافت می‌کند.
این کمپین هم‌زمان دو گروه را هدف قرار می‌دهد:
- کسب‌وکارهای قانونی که وب‌سایت آن‌ها برای نمایش محتوای جعلی کلیک‌فیکس دستکاری شده است.
- کاربرانی که از این وب‌سایت‌ها بازدید می‌کنند و بدون اطلاع از حمله، در معرض محتوای مخرب قرار می‌گیرند.
در نتیجه، یک وب‌سایت قانونی می‌تواند هم به بستری برای اجرای حملات مهندسی اجتماعی علیه بازدیدکنندگان تبدیل شود و هم در اختیار مهاجمان قرار گیرد تا از آن برای گسترش حمله استفاده کنند. در این شرایط، مالک وب‌سایت نیز هم‌زمان قربانی نفوذ مهاجمان و دستکاری زیرساخت وب‌سایت خواهد بود.
تغییر آدرس C2 با بلاک‌چین پالیگان
به گفته پژوهشگران شرکت GuidePoint Security، در حملات سنتی کلیک‌فیکس، یکی از راه‌های مقابله با بدافزار، مسدودکردن سرور فرماندهی و کنترل (C2) مهاجم و قطع ارتباط آن با سیستم‌های آلوده است.
بااین‌حال، مهاجمان در این کمپین از بلاک‌چین پالیگان (Polygon) به‌عنوان فهرستی پویا و قابل‌تغییر از آدرس‌های C2 استفاده کرده‌اند. به این ترتیب، می‌توانند آدرس سرورهای C2 را تغییر دهند و روش‌های معمول مسدودسازی را بی‌اثر کنند.
از آنجا که مهاجمان می‌توانند اطلاعات مربوط به زیرساخت C2 در هر زمان و به‌سرعت تغییر دهند، مسدودکردن یک دامنه یا آدرس IP به‌تنهایی نمی‌تواند ارتباط مهاجمان با سیستم‌های آلوده را برای مدت طولانی قطع کند.
مهاجمان می‌توانند با پرداخت هزینه‌ای بسیار ناچیز برای هر تراکنش، آدرس C2 را تغییر دهند و سیستم‌های آلوده را به‌صورت خودکار به یک سرور C2 جدید هدایت کنند.
در دو سال گذشته، کلیک‌فیکس و گونه‌های مختلف آن به‌طور گسترده در حملات سایبری مورد استفاده قرار گرفته‌اند. در این حملات، مهاجمان با نمایش پیام‌ها و درخواست‌های جعلی، کاربر را متقاعد می‌کنند که برای رفع یک خطا یا تأیید هویت و اثبات اینکه ربات نیست، دستور یا اقدامی را اجرا کند.
این پیام‌های جعلی معمولاً حاوی دستوری هستند که کاربر باید آن را کپی کرده و در پنجره اجرای ویندوز یا ترمینال ویندوز وارد کند. در نتیجه، کاربر بدون اطلاع از ماهیت واقعی دستور، آن را اجرا می‌کند و ناخواسته باعث آلوده‌شدن سیستم خود می‌شود.
اقدامات دفاعی پیشنهادی برای سازمان‌ها
برای مقابله با این تهدید و حملات مشابه، سازمان‌ها باید وب‌سایت‌های در دسترس عموم از طریق اینترنت را به‌طور مستمر بررسی کنند تا هرگونه تغییر مشکوک، اسکریپت مخرب یا نشانه‌ای از تزریق کد (Code Injection) در آن‌ها شناسایی شود. این بررسی‌ها به‌ویژه برای شناسایی تغییرات غیرعادی در وب‌سایت‌هایی که از فناوری‌هایی مانند Node.js استفاده می‌کنند، اهمیت بیشتری دارد.
همچنین توصیه می‌شود نصب و استفاده از افزونه‌های تأییدنشده مرورگر محدود شود و دوره‌های آموزش آگاهی امنیتی برای کارکنان برگزار گردد. این آموزش‌ها باید به کاربران کمک کنند تاکتیک‌های مهندسی اجتماعی مبتنی بر کلیک‌فیکس را سریع‌تر تشخیص دهند و از اجرای دستورهای مشکوک خودداری کنند.
در کنار این اقدامات، مانیتورینگ عملکرد پردازه‌ها، بررسی زنجیره اجرای ابزارهای قانونی و شناسایی ارتباطات غیرعادی با زیرساخت فرماندهی و کنترل (C2) می‌تواند به تیم‌های امنیتی در شناسایی سریع فعالیت‌های مشکوک و جلوگیری از گسترش حمله کمک کند.
