Onderzoekers ontdekten het kwaadaardige npm-pakket imgdecode dat via een Windows native addon shellcode downloadt en uitvoert, onderdeel van de MALFEX-campagne.
Cybersecurityonderzoekers hebben een kwaadaardig npm-pakket ontdekt dat deel uitmaakt van een recent onthulde software supply chain-aanvalscampagne, bekend onder de naam MALFEX. Het pakket, met de naam imgdecode, werd op 30 september 2026 geüpload door een gebruiker met de naam "malfexteste8" en is tot op heden bijna 979 keer gedownload. Het pakket is nog steeds beschikbaar op npm en de meest recente versie is 1.0.3.
Volgens SafeDep verbergt het npm-pakket imgdecode een kwaadaardige loader in een gecompileerde Node.js native addon voor Windows. Het negen regels tellende JavaScript-bestand laadt een Windows DLL die, wanneer het pakket wordt aangeroepen via require('imgdecode') in een Windows-console, versleutelde shellcode van GitHub downloadt. Deze shellcode wordt ontsleuteld en geïnjecteerd in een nieuw gestart proces van dllhost.exe. De MALFEX-campagne, voor het eerst gedocumenteerd door Checkmarx en CloudSEK, omvat sinds augustus 2023 meerdere kwaadaardige npm-pakketten die gericht zijn op het compromitteren van Windows-systemen.
De campagne maakt gebruik van vijf verschillende npm-publisheraccounts en acht geïdentificeerde pakketten, waarvan drie fungeren als loaders voor de Overlord RAT. Drie andere pakketten, waaronder cdn-img-fetch, img-to-native en native-runner, werken samen om een Node.js stealer te downloaden en uit te voeren. Een derde infectieweg gebruikt een postinstall hook om JavaScript uit te voeren dat contact maakt met een externe server en een volgende fase van malware ophaalt. De dreigingsactor reageert op publieke onthullingen en verwijderingen door snel vervangende pakketten te publiceren, zoals runhelper en imgbundle, die de eerder verwijderde pakketten vervangen.
De kwaadaardige keten werkt zonder install hooks; de code wordt uitgevoerd wanneer native-runner wordt geladen, dat img-to-native als afhankelijkheid heeft. De functionaliteit van de betrokken pakketten omvat het downloaden van een versleuteld bestand van GitHub, het ontsleutelen en opslaan als een Go-executable, en het uitvoeren daarvan om een stealer-binary te downloaden. Runhelper, gepresenteerd als een hulpprogramma voor het starten van native binaries vanuit Node.js-projecten, voert shellcode uit die uit een JPG-bestand wordt gehaald met behulp van Koffi, een Foreign Function Interface-module voor Node.js.
