Paket imgdecode krije MALFEX učitavač za Windows
Maliciozni npm paket imgdecode, verzije 1.0.0 do 1.0.3, povezan je sa kampanjom MALFEX koja cilja Windows sisteme. Paket je na npm objavljen 30. septembra 2026. preko naloga „malfexteste8“, a do trenutka istraživanja imao je 979 preuzimanja i još je bio dostupan. SafeDep navodi da se zlonamerni učitavač nalazi u kompajliranom Node.js dodatku.
JavaScript deo paketa ima svega devet linija, ali učitava Windows DLL. Kada aplikacija u Windows konzoli pozove require('imgdecode'), DLL pokušava da sa GitHuba preuzme šifrovani shellcode, dešifruje ga i ubrizga rezultat u novi proces dllhost.exe.
Brza zamena uklonjenih paketa
MALFEX je naziv za dugotrajniju kampanju nepoznatog aktera, dokumentovanu od 6. avgusta 2023. Checkmarx i CloudSEK su je povezali sa više npm naloga i paketima namenjenim kompromitovanju Windows okruženja. Među ranije otkrivenim paketima, neki su služili kao učitavači za Overlord RAT, a drugi za preuzimanje i pokretanje Node.js kradljivca podataka.
Operater je reagovao na uklanjanje paketa sa registra objavljivanjem zamena. Nakon što je npm 28. septembra uklonio native-runner i img-to-native, 30. septembra su objavljeni imgbundle i runhelper. Istog dana, šest sati nakon povlačenja paketa runhelper, pojavio se imgdecode. Verzija 1.0.3, objavljena 11. oktobra, uklanja zavisnost od drugih MALFEX paketa.
Kako funkcioniše učitavač
Raniji lanac preuzimao je sliku banner.png iz GitHub repozitorijuma cavecrew/proj. Paket img-to-native dešifrovao je sadržaj ključem „malfexteam2027“ i upisivao Go izvršni program u direktorijum AppData, dok je native-runner zatim pokretao taj program. On je preuzimao binarni fajl setup.exe, poznat i kao movinlike, sa udaljene infrastrukture.
U paketu imgdecode, 64-bitni Microsoft Visual C++ DLL najpre proverava da li radi u razvojnom terminalu. Zatim preuzima banner.jpg iz istog repozitorijuma, dešifruje ugrađeni sadržaj ključem „nif-runtime-2027“ i pokušava da ga ubrizga u dllhost.exe. DLL proverava početne bajtove dešifrovanog sadržaja i prekida rad ako prepozna JPEG ili PNG potpis, što operateru može omogućiti da zaustavi učitavač isporukom odgovarajućeg sadržaja.
Rizik za razvojna i poslovna okruženja
Go komponenta sadrži adresu komandno-kontrolnog servera i MALFEX licencni ključ. Istraživači su zabeležili provere virtuelnih mašina, sandbox okruženja, alata Process Monitor i Wireshark, kao i prikupljanje fajlova sa ekstenzijama .kdbx, .pem, .ppk i .env. Meta uključuje podatke iz Chromium pregledača, Discorda, Telegrama, kripto-novčanika i aplikacija za igre.
Zlonamerni program može da uspostavi WebSocket vezu sa komandno-kontrolnim serverom radi izvršavanja komandi, prenosa fajlova, upravljanja procesima, pristupa ostavi, snimaka ekrana i unosa miša i tastature. Za postojanost dodaje Registry Run ključ i zakazani zadatak nazvan „MicrosoftEdgeUpdateService“.
Organizacije koje su instalirale navedene pakete treba da Windows uređaje tretiraju kao potencijalno kompromitovane: da ih izoluju, provere Registry Run unose i zakazane zadatke, zatim rotiraju pristupne podatke. Ako su seed fraze bile čuvane na pogođenim sistemima, sredstva treba prebaciti u nove novčanike, uz istovremenu proveru npm zavisnosti u razvojnim projektima.