Attackers Turn Trusted Node.js Runtime Into Malware Delivery Tool in Targeted Attacks
2026-09-03
Un nuevo reporte de Symantec revela que actores de amenazas están utilizando el entorno de ejecución de JavaScript, Node.js, para desplegar cargas maliciosas. El atractivo de este método radica en que el archivo 'node.exe' es una herramienta de desarrollo legítima y firmada, lo que permite que el código malicioso se ejecute mediante scripts interpretados en lugar de archivos binarios, dificultando que los antivirus lo detecten mediante firmas tradicionales.
Desde febrero de 2026, se han observado ataques dirigidos contra departamentos gubernamentales, empresas tecnológicas y hoteles. En uno de los casos, los atacantes descargaron el instalador oficial de Node.js desde su sitio web legítimo para desplegar un implante malicioso que les permitiera mantener acceso a largo plazo mediante una técnica llamada EtherHiding.
Además, se ha identificado la campaña 'ClickFix', que engaña a los usuarios con falsas solicitudes de verificación (como captchas) para que copien y peguen comandos maliciosos en la terminal de Windows. Esta técnica permite la ejecución de malware de forma casi automática una vez que el usuario cae en el engaño social.
El reporte también destaca que los atacantes están utilizando la cadena de bloques (blockchain) de Polygon como una 'agenda de contactos' dinámica para actualizar sus servidores de comando y control, lo que hace que bloquear una dirección IP o un dominio sea insuficiente para detener el ataque.
Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza Node.js para aplicaciones internas o desarrollo, no baje la guardia solo porque la herramienta sea 'oficial'. El riesgo real no es el programa en sí, sino los scripts que se ejecutan con él. Para protegerse: 1) Capacite a su personal para que NUNCA copie y pegue comandos en la terminal de Windows que aparezcan en ventanas emergentes de sitios web (ataques tipo ClickFix). 2) Revise que sus empleados no tengan instaladas extensiones de navegador sospechosas. 3) Si tiene un encargado de sistemas, pídale que audite los procesos de Node.js en ejecución para detectar comportamientos inusuales.
business-standard.com · cyberpress.org · virtualizationreview.com · cybersecuritynews.com