微软警告:Node.js 开源运行环境成恶意软件新温床

2025-04-17 09:20IT之家 - 故渊

IT之家 4 月 17 日消息,微软于 4 月 15 日发布博文,指出 Node.js 正日益被用于传播恶意软件和其他恶意负载。自 2024 年 10 月以来,微软持续监测到针对其客户的攻击活动,部分恶意活动甚至延续至 2025 年 4 月。

IT之家注:Node.js 是一个开源的跨平台运行环境,允许开发者在浏览器之外执行 JavaScript 代码。这种特性虽方便开发者,却也为网络犯罪分子提供了可乘之机。攻击者利用 Node.js 隐藏恶意软件,绕过传统安全防御机制,实施攻击。

微软举例称,犯罪分子利用与加密货币相关的恶意广告(malvertising)诱导用户下载伪装成来自 TradingView 或 Binance 等平台的合法文件的恶意安装程序。

这个安装程序内含恶意 DLL 文件,用于收集基本的系统信息。随后,一个 PowerShell 脚本会下载 Node.js 二进制文件和一个 JavaScript 文件,并通过 Node.js 执行。

该 JavaScript 文件运行一系列程序,包括加载多个模块、向设备添加证书,以及窃取浏览器中的敏感信息。微软指出,这些行为可能预示后续的凭据窃取、规避检测或二次负载执行等恶意活动。

微软在第二个攻击实例中表示,黑客采用了 ClickFix 社交工程技术,试图欺骗受害者执行恶意的 PowerShell 命令。

该命令会启动多个组件的下载和执行,包括 Node.js 二进制文件,让 JavaScript 代码无需通过文件执行,能够直接在命令行中运行。

以上图源:微软

微软强调,尽管 Python、PHP 和 AutoIT 等传统脚本语言仍被广泛用于威胁活动,但威胁行为者正转向编译后的 JavaScript,甚至直接利用 Node.js 在命令行中运行脚本,实施恶意行为。

微软警告,这种威胁行为者技术、战术和程序(TTPs)的转变表明,尽管 Node.js 相关的恶意软件数量上相对其它攻击手段并不凸显,但正迅速融入不断演变的网络威胁。

广告声明:文内含有的对外跳转链接(包括不限于超链接、二维码、口令等形式),用于传递更多信息,节省甄选时间,结果仅供参考,IT之家所有文章均包含本声明。

文章价值:
人打分
有价值还可以无价值
置顶评论
    热门评论
      文章发布时间太久,仅显示热门评论
      全部评论
      一大波评论正在路上
        取消发送
        软媒旗下人气应用

        如点击保存海报无效,请长按图片进行保存分享