署名付きNode.jsを悪用する攻撃が再燃 — 公式インストーラで侵入しイーサリアム経由で指令取得、ランサムウェア関連の痕跡も

Broadcom傘下のSymantec Threat Hunter Teamは2026年9月3日、正規のNode.js実行環境を悪用する攻撃手法が復活したと報告した。2026年2月以降、複数の攻撃者がこの手法を使い、被害には政府機関、テクノロジー企業、アジアのホテルが含まれる。一部の攻撃はランサムウェアにつながる侵入だった。Node.jsの悪用は古くから知られる手法だが、攻撃者にとって有用であり続ける限り消えることはないとSymantecは述べている。

なぜNode.jsが狙われるのか — 署名付き実行環境とスクリプト潜伏

Node.jsはオープンソースのJavaScript実行環境である。攻撃者は不審な実行ファイルを直接置く代わりに、正規のNode.jsランタイムを導入し、悪性ロジックをスクリプト側に持たせる。node.exe自体は署名付きの正規開発ツールであるため、悪性コードがバイナリではなく解釈実行されるスクリプトに存在することになり、シグネチャ型検出の回避が狙える。永続化にはレジストリのRunキーにnodeコマンドを登録し、ログインのたびに再実行させる手口が使われる。

アジア企業での4か月に及ぶ潜伏 — 公式インストーラとEthereum経由の指令取得

象徴的な事例は、2026年3月から7月にかけてアジアのテクノロジー系スタートアップで起きた侵入である。攻撃者はAdaptixC2エージェントやCobalt Strike Beaconなど投入するペイロードを次々と防御に阻まれた。そこで3月29日、攻撃者はnodejs.orgから公式のNode.jsインストーラを直接ダウンロードした。当該端末ではそれまでNode.jsは日常的に使われていなかった。

5月21日、攻撃者はWindows Appsキャッシュ配下で署名付きのnode.exe（約71MB）とネイティブアドオン「evasion.node」を実行した。2分後、インプラントは現在ユーザーのRunキーにランダム名の値を登録し、conhost.exe経由でnode.exeをヘッドレス起動して第2のファイル（.dat）を引数に渡す設定にした。.datファイル自体は回収できなかったが、node.exeに直接渡されていたことから、実行すべきJavaScriptまたはバイトコードのペイロードだったとみられる。

6月25日から30日にかけ、node.exeのインプラントはEthereumブロックチェーンのRPCゲートウェイ2件（eth.llamarpc.comとmainnet.gateway.tenderly.co）へ連日HTTPS接続した。ブロックチェーン上のスマートコントラクトに隠した指令や追加ペイロードを取得していた可能性が高い。これは「EtherHiding」と呼ばれる手法で、Symantecはここ数か月で増加傾向にあるとしている。その後node.exeはCloudflare Workersのドメインとも通信し、攻撃者がサーバーレス基盤をC2に流用していたとみられる。最後の活動確認は7月25日で、4か月超にわたり2系統（サービス起動のPowerShellダウンローダーとRunキー起動のNode.jsインプラント）で潜伏が維持された。侵入の起点はClickFix型の手口で、4月にはドメイン参加マシンを列挙するActive Directory偵察も確認された。

米フィンテック企業への侵入とランサムウェア関連バックドア

同一の攻撃者は米国のフィンテック企業にも侵入した。2026年5月6日にClickFix型とみられるPowerShell実行で足場を築き、約11週間にわたり外部ドメインへのビーコンを維持。6月8日にAdaptixC2エージェント、6月19日にCobalt Strike Beaconを配備した。C2には実在のAI開発企業Devmineをかたるドメインや、データベース関連通信に紛れ込ませる狙いのドメインが使われた。

7月16日、攻撃者はRust製バックドアを最終ペイロードとして配備した。このバックドアはZscalerが2026年8月に「C2Looper」と名付けて報告したマルウェアで、Zscalerはランサムウェア攻撃の足場確保に使われる可能性が高いと説明している。C2LooperのC2指標（45.158.196.23:8888）が米企業侵入の通信先と一致したことから、Symantecは同一攻撃者によるものと判断している。

Woodgnat製とされるModeloRATとの接点

2026年2月以降の一連の攻撃では、Python製RAT「ModeloRAT」が併用されたケースがある。ModeloRATは初期アクセスブローカー「Woodgnat」（別名KongTuke）が開発したとみられ、同ブローカーはQilin、Interlock、Rhysida、Akira、8Base、Black Basta、Embargoといった複数のランサムウェアファミリーに関わる攻撃との関連が公に指摘されている。Symantecが2026年6月に報告した新型バックドア「Backdoor.Mistic」もWoodgnat製の可能性がある。5月にはアジアのホテルを狙う攻撃で、認証情報や暗号資産ウォレット情報を窃取するAsukaStealerのNode.js版が初めて使われたことも確認された。

対策について、Symantecは最新の保護アップデートをまとめたSymantec Protection Bulletinの確認を案内している。同社の製品利用者は同Bulletinで対応状況を確認できる。Node.jsが開発現場の正規ツールである以上、一律の禁止は現実的ではない。自組織の端末に身に覚えのないnode.exeの常駐やRunキー登録、ブロックチェーンRPCゲートウェイへの不審な定期通信がないかの点検が、今回の報告が示す確認事項である。