Los atacantes convierten el entorno de ejecución de confianza de Node.js en una herramienta para distribuir malware en ataques dirigidos

Cier­tas agru­pa­cio­nes de ata­can­tes están em­plean­do el en­torno de eje­cu­ción Node.js para dis­tri­buir car­gas ma­li­cio­sas en di­ver­sas cam­pa­ñas de ci­ber­ata­ques. Esta es­tra­te­gia se basa en apro­ve­char el bi­na­rio ofi­cial y fir­ma­do de esta he­rra­mien­ta le­gí­ti­ma de de­sa­rro­llo, lo que re­du­ce las pro­ba­bi­li­da­des de ser de­tec­ta­dos por sis­te­mas ba­sa­dos en fir­mas, mien­tras que un re­gis­tro del sis­te­ma per­mi­te re­lan­zar el có­di­go ma­li­cio­so en cada ini­cio de se­sión.

Du­ran­te las in­tru­sio­nes de­tec­ta­das, los ope­ra­do­res han des­car­ga­do el ins­ta­la­dor le­gí­ti­mo desde el sitio ofi­cial para es­ta­ble­cer ac­ce­sos a largo plazo en redes de di­ver­sos sec­to­res, como el tec­no­ló­gi­co, gu­ber­na­men­tal y ho­te­le­ro. En oca­sio­nes, esta tác­ti­ca se adop­tó tras el blo­queo pre­vio de otros agen­tes ma­li­cio­sos, y se ha com­bi­na­do con el uso de scripts en Ja­vaS­cript, he­rra­mien­tas de co­man­dos de Win­dows, Po­werShell, ex­ten­sio­nes ma­li­cio­sas de na­ve­ga­dor y di­fe­ren­tes puer­tas tra­se­ras o pro­gra­mas ma­li­cio­sos de ac­ce­so ini­cial.

Adi­cio­nal­men­te, se han re­gis­tra­do cam­pa­ñas ma­si­vas que em­plean se­ñue­los de ve­ri­fi­ca­ción de se­gu­ri­dad fal­sos me­dian­te téc­ni­cas de in­ge­nie­ría so­cial co­no­ci­das, lo­gran­do com­pro­me­ter nu­me­ro­sos si­tios web cor­po­ra­ti­vos y a vi­si­tan­tes des­pre­ve­ni­dos. Estas ope­ra­cio­nes uti­li­zan me­ca­nis­mos des­cen­tra­li­za­dos ba­sa­dos en ca­de­nas de blo­ques para ac­tua­li­zar de forma di­ná­mi­ca la in­fra­es­truc­tu­ra de con­trol, di­fi­cul­tan­do que el blo­queo de una única di­rec­ción IP o do­mi­nio logre cor­tar la co­mu­ni­ca­ción de los equi­pos afec­ta­dos de ma­ne­ra per­ma­nen­te.