Symantec Threat Hunter Team’in yayımladığı son incelemelere göre, saldırganlar Şubat 2026’dan bu yana devlet dairelerini, teknoloji şirketlerini ve otelleri hedef alan saldırılarda Node.js çalışma zamanını kötü amaçlı yazılım dağıtım kanalı olarak kullanıyor. Hedef alınan kurumsal ağlarda resmi Node.js kurulum paketi indirilip imzalı node.exe çalıştırılıyor, ardından betik tabanlı zararlı kod ve kayıt defteri başlangıç girdileriyle kalıcılık sağlanıyor.
Broadcom çatısı altındaki ekip, bu yöntemin saldırganlara iki avantaj sağladığını aktardı: node.exe meşru ve imzalı bir geliştirici aracı olarak görünürken, kötü niyetli mantık yorumlanan betiklerin içinde kalıyor. Böylece imza tabanlı güvenlik kontrollerinin saldırıyı yakalaması zorlaşıyor. Bir kez yerleşen yük ise Windows oturum açıldığında Run anahtarı üzerinden yeniden başlatılabiliyor.
Raporda, saldırganların kötü amaçlı kodu ayrı bir ikili dosyada değil, yorumlanan betikler içinde tutmasının tespiti zorlaştırdığı vurgulandı. Symantec’e göre bu tercih, yalnızca görünümü değil, algılama yüzeyini de etkiliyor; çünkü imzalı geliştirici araçları ve kayıt defteri girdileri meşru sistem etkinliği gibi davranabiliyor.
Asya’daki teknoloji şirketinde Node.js zinciri
İncelenen vakalardan birinde, 23 Mart ile 25 Temmuz 2026 arasında bir Asya teknoloji şirketi hedef alındı. Saldırganlar nodejs[.]org adresinden resmi Node.js yükleyicisini indirdi, ardından güvenilir çalışma zamanını kullanarak kalıcı erişim sağlayan bir implant dağıttı. Komut ve araç almak için de EtherHiding adı verilen teknik devreye sokuldu.
Aynı olay dizisinde saldırganların daha önce kullandığı AdaptixC2 ve Cobalt Strike beacon’ları, ilk erişim ClickFix adlı sosyal mühendislik yöntemiyle sağlanmasına rağmen, ağ içinde bloke edildi. Bu nedenle tehdit aktörleri yaklaşımı değiştirdi ve doğrudan Node.js tabanlı bir yükleme zincirine yöneldi. Symantec, bu grubun daha sonra ModeloRAT ve Mistic olarak da izlenen MLTBackdoor ile birlikte hareket ettiğini de belirtti.
Haziran 2026’da paylaşılan başka bir analizde ise Woodgnat takma adlı kümenin saldırı zincirlerinde node.exe üzerinden saldırgan JavaScript’inin çalıştırıldığı, ardından PowerShell ve Windows komut satırı araçlarının birbirine zincirlendiği anlatılmıştı. Aynı operasyonlarda NexShield adlı kötü amaçlı bir Chrome uzantısı ve CrashFix adı verilen ClickFix varyantı da kullanıldı. Bu zincirin parçası olan bir diğer araç, katmanlı şifreleme ve kurban parmak izi çıkarma mantığı taşıyan GateKeeper adlı .NET yükü oldu.
Symantec, bu etkinlikleri ilk erişim komisyoncusu olarak izlenen KongTuke, diğer adıyla Woodgnat ile ilişkilendiriyor. Kampanyada görülen yöntemler, saldırganların kalıcılık kurmak ve sonraki aşamalara geçmek için meşru yazılım bileşenlerini de rahatça araçlaştırdığını gösteriyor.
Şirketin aktardığına göre Node.js’in saldırılarda öne çıkmasının nedeni, hem imzalı ve güvenilir görünmesi hem de saldırganlara script tabanlı yürütme esnekliği vermesi. Symantec, farklı beceri seviyelerine sahip tehdit aktörlerinin Node.js’i yeniden tercih etmeye başladığını, çünkü aynı zincirde yaşam-sürekliliği sağlayan meşru araçlarla ticari zararlı yazılımların birlikte kullanılabildiğini kaydetti.
EtherHiding ve blockchain tabanlı komuta altyapısı
Teknikler yalnızca Node.js ile sınırlı değil. U.S. merkezli bir fintech kuruluşuna yönelik benzer bir operasyonda da saldırganlar ilk erişimi ClickFix üzerinden aldıktan sonra AdaptixC2 ajanı ve Cobalt Strike Beacon yerleştirdi. Daha sonra, Zscaler ThreatLabz’ın geçen ay belgelediği C2Looper adlı Rust tabanlı arka kapı devreye girdi. İlk gözlenen faaliyet 6 Mayıs 2026 tarihine gidiyor.
Bu vakada C2Looper kurulumunun ilk olaylardan iki aydan fazla sonra gerçekleştiği görülse de, araştırmacılar kimlik bilgisi hırsızlığı, yatay hareket ya da yıkıcı bir işlem izine rastlamadı. Nihai hedefin arka kapı üzerinden kalıcılık kurmakla mı sınırlı kaldığı da netleşmedi.
Symantec, o olayda Node.js faaliyeti ve Ethereum blockchain bağlantısı görmediğini, ancak ortak alan adları ve saldırı zincirindeki benzerliklerin aynı aktörlere işaret ettiğini kaydetti. Kuruma göre saldırganlar bu hedefte Node.js adımını kullanmamış olabilir, çünkü arka kapıyı başarıyla yerleştirmeyi başardılar.
EtherHiding tekniği, komuta ve kontrol altyapısının adresini doğrudan klasik sunucularda tutmak yerine blockchain üzerinde dinamik olarak güncellenebilen bir kayıt defteri gibi kullanıyor. Symantec, bu yöntemin saldırganlara C2 bilgilerini çok düşük maliyetle değiştirme imkânı verdiğini, böylece tek bir alan adı ya da IP adresinin engellenmesinin kalıcı savunma sağlamadığını vurguladı.
Yayımlanan notta, Ethereum ekosistemi içinde Polygon blockchain’in saldırganlar tarafından adeta güncellenebilir bir adres defteri gibi kullanıldığı anlatıldı. GuidePoint Security’den araştırmacı Jean-Pierre Mouton, geleneksel ClickFix kampanyalarının saldırganın C2 sunucusu kapatıldığında etkisiz kalabildiğini, ancak bu kampanyanın iletişim bilgisini blockchain üzerinden güncellediği için aynı savunmayı aşabildiğini söyledi. Her işlem için kesirler düzeyinde maliyetle, enfekte her makinenin otomatik olarak yeni bir C2 adresine yönlendirilebildiğini aktardı.
Mouton ayrıca, blok zinciri tabanlı adresleme sayesinde tek bir domain ya da IP’yi kapatmanın yeterli olmadığını belirtti. GuidePoint Security’ye göre saldırgan, çok küçük işlem maliyetleriyle ele geçirilmiş her sistemi yeni komuta altyapısına aktarabiliyor ve bu da erişim zincirini sürekli canlı tutuyor.
ClickFix kampanyaları ve kullanılan araçlar çoğalıyor
Aynı dönemde GuidePoint Security, e-ticaret, profesyonel hizmetler ve perakende lojistik alanlarında faaliyet gösteren en az 31 kuruluşun ClickFix kampanyasıyla ele geçirildiğini bildirdi. Bu kampanyada saldırganlar, ele geçirilmiş sitelere gelen ziyaretçilere sahte CAPTCHA doğrulama ekranları gösteriyor ve ardından EtherHiding kullanarak kalıcı bir arka kapının komuta altyapısını bulup saldırı talimatlarını alıyor.
Saldırı iki farklı hedef kitlesine aynı anda ulaşıyor: bir yandan saldırganların kod enjekte ettiği gerçek iş sitesi, diğer yandan bu sitelere rastlayan kullanıcılar. Ziyaretçi, CAPTCHA’yı doğrulamak ya da hata düzeltmek istediğini sanarak ekrana yazılan komutu kopyalayıp Windows Run penceresine veya Windows Terminal uygulamasına yapıştırıyor. Böylece sistemini kendi eliyle tehlikeye atmış oluyor.
ClickFix tarzı kampanyalar son iki yılda hız kazandı ve kullanıcıları, bir hatayı düzeltme ya da bot olmadığını kanıtlama bahanesiyle ekrandaki komutu kopyalayıp çalıştırmaya yöneltti. Kullanıcı bu komutu Windows Run iletişim kutusuna ya da Windows Terminal uygulamasına yapıştırdığında, saldırganın yükü doğrudan etkinleşebiliyor.
Symantec, Node.js kullanan birden fazla tehdit aktörü bulunduğunu, saldırılarda ayrıca AsukaStealer adlı bilgi hırsızının Node.js sürümü, EtherRAT ve çeşitli meşru Microsoft ile komut satırı araçlarının da kullanıldığını açıkladı. Şirket, saldırganların hem sistem üzerinde doğal olarak bulunan araçları hem de çift kullanımlı yazılımları, ayrıca Backdoor.Mistic, C2Looper ve AsukaStealer’ın yeni sürümü gibi ticari zararlı yazılımları birlikte kullandığını kaydetti.
Symantec, saldırganların Node.js ile birlikte living-off-the-land yaklaşımını, çift kullanımlı araçları ve hazır zararlı yazılımları aynı zincirde harmanladığını belirtti. Kurum, bu karışımın Backdoor.Mistic, C2Looper ve AsukaStealer’ın yeni sürümü gibi araçlarla daha da genişlediğini aktardı.
GuidePoint Security’den Mouton, klasik savunmada saldırganın C2 sunucusunu engellemenin çoğu kez yeterli olduğunu, ancak bu kampanyada Polygon blockchain’in dinamik güncellenen bir adres defteri gibi davrandığını belirtti. Bu yüzden tek bir alan adı ya da IP adresinin bloke edilmesi, saldırgan erişimini kalıcı biçimde kesmiyor.
İncelemelere göre kuruluşların halka açık web sitelerini sürekli denetlemesi, şüpheli değişiklikleri ve kötü amaçlı betikleri izlemesi, onaysız tarayıcı uzantılarını sınırlandırması ve çalışanlara ClickFix tarzı sosyal mühendislik yöntemlerini tanıyacak farkındalık eğitimi vermesi gerekiyor.