Una backdoor Node.js è JavaScript malevolo o codice compilato progettato per essere eseguito all'interno del runtime Node.js e dare a un attaccante un accesso nascosto a un sistema. Poiché Node.js è ampiamente usato per strumenti di build, API e utility per sviluppatori, una backdoor può ereditare gli stessi permessi dell'applicazione o del job CI che la carica. Questo la rende utile per sottrarre segreti, scaricare altri payload o creare accesso remoto ai comandi.
Nelle attacchi reali, una backdoor Node.js spesso arriva tramite un pacchetto npm compromesso, una release avvelenata o una dipendenza usata in una pipeline di build. Può leggere variabili d'ambiente, esfiltrare token, modificare file o eseguire comandi shell durante l'installazione o l'esecuzione. I difensori cercano la provenienza del pacchetto, la revisione delle dipendenze, versioni bloccate ed esecuzione con privilegi minimi. La rotazione dei segreti e la scansione del malware sono importanti perché le backdoor Node.js spesso prendono di mira credenziali e sistemi di automazione piuttosto che solo le macchine degli utenti finali.