В npm нашли пакет imgdecode с DLL-загрузчиком шелл-кода для Windows
Исследователи SafeDep обнаружили в реестре npm вредоносный пакет imgdecode, связанный с кампанией MALFEX против Windows. Пакет загрузили 979 раз; на момент исследования в npm оставалась версия 1.0.3, опубликованная 11 октября 2026 года.
Пакет был размещён 30 сентября учётной записью malfexteste8. Его JavaScript-часть занимает девять строк и загружает нативную DLL для Windows, поэтому опасная логика скрыта не в привычном для проверки коде JavaScript, а в скомпилированном дополнении Node.js.
Как работает загрузчик
При вызове require('imgdecode') из консоли Windows DLL пытается получить с GitHub зашифрованный шелл-код, расшифровать ответ и внедрить его в новый процесс dllhost.exe. В версии 1.0.0 цепочка ожидала файл, который должен был подготовить пакет imgbundle.
Начиная с версии 1.0.1 DLL самостоятельно загружает и расшифровывает полезную нагрузку. Версии 1.0.1 и 1.0.2 ещё вызывали require('imgbundle'), но в 1.0.3 эта зависимость удалена: для запуска загрузчика больше не требуется другой пакет MALFEX.
SafeDep указывает, что дополнение представляет собой 64-разрядную DLL Microsoft Visual C++. Она проверяет, не запущена ли в терминале разработчика, затем обращается к файлу banner.jpg в репозитории cavecrew/proj. Встроенный объект расшифровывается ключом nif-runtime-2027, после чего результат внедряется в dllhost.exe.
Связь с кампанией MALFEX
Checkmarx и CloudSEK ранее описали MALFEX как кампанию неизвестного оператора, публикующего вредоносные npm-пакеты с 6 августа 2023 года. До imgdecode исследователи связали с ней восемь пакетов, размещённых через пять аккаунтов npm.
Три из них служили загрузчиками Overlord RAT. Ещё три — cdn-img-fetch, img-to-native и native-runner — формировали цепочку для загрузки Node.js-стилера. После удаления native-runner и img-to-native из npm 28 сентября оператор менее чем за два дня разместил замены runhelper и imgbundle, а затем опубликовал imgdecode.
Цепочка стилера получала изображение banner.png из того же GitHub-репозитория. Компонент img-to-native расшифровывал данные ключом malfexteam2027 и сохранял Go-исполняемый файл в каталоге AppData, а native-runner запускал его для загрузки setup.exe, также известного как movinlike.
Что проверить после установки
Исследователи описывают у полезной нагрузки проверки виртуальных машин, песочниц, Process Monitor и Wireshark. Вредоносная программа ищет seed-фразы, файлы .kdbx, .pem, .ppk и .env, а также данные Chromium-браузеров, Discord, Telegram, криптокошельков и игровых приложений.
Программа умеет подключаться к управляющему серверу по WebSocket, выполнять команды оболочки, передавать файлы, управлять процессами, буфером обмена, скриншотами и вводом. Для закрепления она добавляет ключ Run в реестр и создаёт запланированное задание MicrosoftEdgeUpdateService.
Организациям, установившим imgdecode или другие упомянутые пакеты, следует считать Windows-системы потенциально скомпретированными: изолировать их, проверить механизмы закрепления и сменить учётные данные. Если на устройстве хранились seed-фразы криптокошельков, SafeDep рекомендует перевести средства на новые кошельки. Для команд разработки практический вывод — проверять происхождение и нативные дополнения npm-зависимостей, а не ограничиваться аудитом JavaScript-кода.