微软警告：Node.js 开源运行环境成恶意软件新温床

IT之家 4 月 17 日消息，微软于 4 月 15 日发布博文，指出 Node.js 正日益被用于传播恶意软件和其他恶意负载。自 2024 年 10 月以来，微软持续监测到针对其客户的攻击活动，部分恶意活动甚至延续至 2025 年 4 月。

IT之家注：Node.js 是一个开源的跨平台运行环境，允许开发者在浏览器之外执行 JavaScript 代码。这种特性虽方便开发者，却也为网络犯罪分子提供了可乘之机。攻击者利用 Node.js 隐藏恶意软件，绕过传统安全防御机制，实施攻击。

微软举例称，犯罪分子利用与加密货币相关的恶意广告（malvertising）诱导用户下载伪装成来自 TradingView 或 Binance 等平台的合法文件的恶意安装程序。

这个安装程序内含恶意 DLL 文件，用于收集基本的系统信息。随后，一个 PowerShell 脚本会下载 Node.js 二进制文件和一个 JavaScript 文件，并通过 Node.js 执行。

该 JavaScript 文件运行一系列程序，包括加载多个模块、向设备添加证书，以及窃取浏览器中的敏感信息。微软指出，这些行为可能预示后续的凭据窃取、规避检测或二次负载执行等恶意活动。

微软在第二个攻击实例中表示，黑客采用了 ClickFix 社交工程技术，试图欺骗受害者执行恶意的 PowerShell 命令。

该命令会启动多个组件的下载和执行，包括 Node.js 二进制文件，让 JavaScript 代码无需通过文件执行，能够直接在命令行中运行。

以上图源：微软

微软强调，尽管 Python、PHP 和 AutoIT 等传统脚本语言仍被广泛用于威胁活动，但威胁行为者正转向编译后的 JavaScript，甚至直接利用 Node.js 在命令行中运行脚本，实施恶意行为。

微软警告，这种威胁行为者技术、战术和程序（TTPs）的转变表明，尽管 Node.js 相关的恶意软件数量上相对其它攻击手段并不凸显，但正迅速融入不断演变的网络威胁。