https://cyberveille.ch/tags/node.js-rat/ Recent content in Node.js RAT on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sun, 20 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-20-chainscript-un-rat-node-js-utilisant-la-blockchain-polygon-pour-sa-decouverte-c2/ Sun, 20 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-20-chainscript-un-rat-node-js-utilisant-la-blockchain-polygon-pour-sa-decouverte-c2/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 18 septembre 2026 par le groupe Adversary Pursuit Group (APG) de Blackpoint Cyber, cet article présente l&rsquo;analyse technique complète d&rsquo;un RAT Node.js jusqu&rsquo;alors non documenté, désormais suivi sous le nom <strong>ChainScript</strong>. La découverte a eu lieu lors d&rsquo;une investigation sur une campagne <strong>ClickFix</strong>.</p> <h2 id="-vecteur-dinfection-et-chaîne-dexécution">🎯 Vecteur d&rsquo;infection et chaîne d&rsquo;exécution</h2> <p>L&rsquo;infection débute par une activité <strong>ClickFix</strong> conduisant l&rsquo;utilisateur à exécuter <code>msiexec.exe</code>, qui contacte <code>api-configuard[.]com</code> via l&rsquo;endpoint <code>capher.php</code> pour télécharger un <strong>MSI malveillant</strong> se présentant comme Spotify (<code>ComponentTask33-4d14e6ac.msi</code>). Le MSI :</p>