正規の「Node.js」環境を悪用する標的型攻撃が拡大——署名付きバイナリで検知を回避

要点

• 正規のJavaScript実行環境「Node.js」を悪用し、マルウェアを実行・配信する標的型サイバー攻撃が確認された。

• 正規のデジタル署名を持つ実行ファイル（node.exe）を利用することで、セキュリティ製品によるパターン照合（シグネチャ検知）を回避している。

• 2026年2月以降、政府機関やテクノロジー企業、ホテル、米国のフィンテック企業などが標的となっている。

• 偽の画面案内でスクリプトを実行させる「ClickFix」や、ブロックチェーンに通信先を隠す「EtherHiding」などの手法が組み合わされている。

• 初期アクセスブローカー「KongTuke」の関与が指摘されており、多種多様なマルウェアやOS標準ツールが併用されている。

• サイバー攻撃者が正規の開発ツール「Node.js」の実行環境を悪用し、標的組織へマルウェアを送り込んでいることが明らかになった。米Broadcom傘下のセキュリティ部門であるSymantec Threat Hunter Teamが2026年9月3日に公開したレポートによると、2026年2月以降、政府機関やテクノロジー企業、ホテルなどを狙った攻撃でこの手法が確認された。正規の署名付きバイナリを利用してセキュリティ製品の検知を逃れ、長期的な侵入拠点を確保する狙いがあるという。

Node.jsが悪用される理由と検知回避の仕組み

今回の攻撃でNode.jsが選ばれている主な理由は、セキュリティ対策をすり抜けやすい点にある。Node.jsの実行ファイル「node.exe」は正規のデジタル署名が施された信頼性の高いツールであるため、多くのシステムで安全なプロセスとして扱われる。

悪意あるコードはバイナリ本体ではなく、Node.js上で解釈されるスクリプト側に記述されるため、既知のパターンと照合する従来の「シグネチャベース検知」を回避しやすい。さらにWindowsレジストリの「Run」キーに登録することで、ユーザーがログインするたびに自動でペイロードを再起動させ、システム内に潜伏し続ける仕組みが取られている。

アジアのテクノロジー企業における侵入事例

レポートでは、2026年3月23日から7月25日にかけて観測されたアジアのテクノロジー企業に対する攻撃事例が紹介されている。攻撃者はまず、偽のエラー修復案内を表示してユーザーにコマンドを実行させるソーシャルエンジニアリング手法「ClickFix」で初期侵入を試みた。

侵入後、攻撃者は「AdaptixC2」や「Cobalt Strike」ビーコンの配備を試みたが、防御機能によって遮断された。そこで手法を切り替え、公式サイト（nodejs.org）から正規のNode.jsインストーラーをダウンロードした。そして信頼された実行環境を利用して悪意あるインプラントを配置し、長期的な侵入拠点を構築したという。この侵入では、指令サーバー（C2：マルウェアへ遠隔指示を送るサーバー）の接続先取得に、ブロックチェーン上に通信先情報を隠蔽する技術「EtherHiding」が悪用されていた。

初期アクセスブローカー「KongTuke」の関与

この手口は遠隔操作ツール「ModeloRAT」やバックドア「Mistic（別名：MLTBackdoor）」と併用されており、初期アクセスブローカー（侵入経路を確保して他者に販売する攻撃者）である「KongTuke（別名：Woodgnat）」の活動と評価されている。

Symantecが2026年6月に公表した情報によると、Woodgnatの攻撃ではnode.exeでJavaScriptを実行し、PowerShellやコマンドプロンプトを連携させていた。さらにClickFixの亜種を通じて悪質なChrome拡張機能「NexShield」を展開したほか、多層暗号化と環境識別ロジックを備えた「GateKeeper」という.NET製ペイロードも使われていた。

米国フィンテック企業への攻撃とバックドア「C2Looper」

米国のフィンテック組織でも同様の手口が観測された。2026年5月6日にClickFixを通じて初期の足場が作られ、AdaptixC2やCobalt Strikeが展開された後、約2か月以上経ってからRust言語製バックドア「C2Looper」が導入された。

この事例では認証情報の窃取や内部での横展開、データ破壊などは確認されていない。またNode.jsの使用やブロックチェーン接続は直接観測されなかったものの、ドメインの共通性や攻撃チェーンの類似性から同一グループと判断されている。Symantecは、バックドアの展開に成功したためNode.jsを使う必要がなかった可能性が高いと分析している。

ツール併用と30組織以上に広がる「ClickFix」被害

攻撃者は情報窃盗ツール「AsukaStealer」のNode.js版や「EtherRAT」のほか、OS標準のユーティリティや一般に流通するマルウェアなど多彩なツールを併用している。Symantecは、Node.jsの悪用が再び活発化し、多様なスキルレベルの攻撃者がこの手法を利用していると結論づけている。

またセキュリティ企業GuidePoint Securityによると、ClickFixキャンペーンにより電子商取引（eコマース）や専門サービス、小売物流など少なくとも31組織が侵害されたことが判明している。侵害されたウェブサイトに偽のCAPTCHA（人間確認画面）を表示させて訪問者を誘導し、EtherHidingでC2インフラと通信するバックドアを仕込む手口が使われていた。