Symantec verbindet die Technik auch mit ModeloRAT und Mistic (auch MLTBackdoor genannt). Beide werden einem Initial-Access-Broker namens KongTuke beziehungsweise Woodgnat zugerechnet. Bereits im Juni 2026 hatte Symantec beschrieben, dass Woodgnat-Angriffsketten „node.exe" missbrauchen, um Angreifer-JavaScript auszuführen und PowerShell sowie Windows-Kommandozeilenwerkzeuge aneinanderzureihen. Hinzu kommt eine bösartige Chrome-Erweiterung namens NexShield im Rahmen einer ClickFix-Variante mit der Bezeichnung CrashFix sowie GateKeeper, eine .NET-Nutzlast mit mehrschichtiger Verschlüsselung und Logik zum Fingerprinting der Opfer.
Dasselbe Vorgehen beobachtete Symantec bei einer US-amerikanischen Fintech-Organisation. Dort mündete der Angriff in die Installation von C2Looper, einer in Rust geschriebenen Backdoor, die Zscaler ThreatLabz kürzlich dokumentiert hat. Die früheste beobachtete Aktivität datiert auf den 6. Mai 2026: Über den per ClickFix gewonnenen Fuß in der Tür setzten die Angreifer zunächst einen AdaptixC2-Agenten und einen Cobalt Strike Beacon ab.
C2Looper folgte erst mehr als zwei Monate später. Hinweise auf Zugangsdatendiebstahl, seitliche Bewegung im Netzwerk oder zerstörerische Operationen fand Symantec nicht; offen bleibt, ob die Täter über den Fuß in der Tür hinaus ihre Ziele erreichten. „Auch wenn in diesem Vorfall weder Node.js noch eine Verbindung zur Ethereum-Blockchain zu sehen war, deuten gemeinsam genutzte Domains und Ähnlichkeiten in der Angriffskette auf dieselben Angreifer hin", so Symantec. Wahrscheinlich habe man Node.js dort nicht gesehen, weil die Platzierung der Backdoor bereits erfolgreich war.
Nach Einschätzung des Unternehmens nutzen mehrere Akteure Node.js. Zum Werkzeugkasten gehören eine Node.js-Variante des Infostealers AsukaStealer, EtherRAT sowie legitime Microsoft- und Kommandozeilenwerkzeuge. Die Angreifer kombinierten laut Symantec bereitwillig Living-off-the-Land- und Dual-Use-Werkzeuge mit Massen-Schadsoftware und neuen Werkzeugen wie Backdoor.Mistic, C2Looper und der neuen AsukaStealer-Version. Das deute darauf hin, dass Angreifer unterschiedlichster Fähigkeitsstufen Node.js einsetzen, seit es wieder an Popularität gewonnen hat.
Parallel berichtet GuidePoint Security von einer ClickFix-Kampagne, über die mindestens 31 Organisationen kompromittiert wurden, darunter Unternehmen aus E-Commerce, professionellen Dienstleistungen und Handelslogistik. Auf den manipulierten Websites erscheinen gefälschte CAPTCHA-Abfragen; ausgeliefert wird eine dauerhaft eingerichtete Backdoor, die ihre Steuerungsinfrastruktur per EtherHiding auffindet. Die Kampagne erzeugt zwei Opfertypen: die Firmen, deren Website den Lockinhalt einblendet, und die Besucher dieser Seiten.
„Klassischerweise lässt sich ClickFix-Schadsoftware neutralisieren, indem man den C2-Server des Angreifers blockiert und so die Kommunikation mit infizierten Rechnern abschneidet", sagt GuidePoint-Forscher Jean-Pierre Mouton. Diese Kampagne umgehe die Abwehr, indem sie die Polygon-Blockchain als dynamisch aktualisierbares Adressbuch verwende. Weil sich die C2-Angaben so jederzeit und in großem Maßstab anpassen lassen, kappt das Sperren einer einzelnen Domain oder IP-Adresse den Zugang nicht dauerhaft: Für Bruchteile eines Cents pro Transaktion könne der Angreifer jeden infizierten Rechner automatisch auf einen neuen C2-Server umleiten.
ClickFix und seine Varianten haben in den vergangenen zwei Jahren stark zugenommen. Nutzer werden dabei unter dem Vorwand einer Fehlerbehebung oder eines Bot-Nachweises dazu verleitet, einen vorgegebenen Befehl in den Windows-Ausführen-Dialog oder das Windows Terminal zu kopieren – und kompromittieren damit ihr eigenes System. GuidePoint empfiehlt, öffentlich erreichbare Websites laufend auf verdächtige Änderungen und Schadskripte zu prüfen, nicht freigegebene Browser-Erweiterungen zu unterbinden und Beschäftigte für ClickFix-artige Taktiken zu schulen.