MALFEX-npm-Paket „imgdecode" versteckt Shellcode-Loader in nativem Windows-Addon

Was passiert ist

Cybersicherheitsforscher haben ein bösartiges npm-Paket entdeckt, das Teil einer kürzlich offengelegten Lieferketten-Angriffskampagne (ein Angriff, der sein Ziel über Software erreicht, von der es abhängt) mit dem Namen MALFEX ist. Ravie Lakshmanan, 17. Okt. 2026, Malware / Windows-Sicherheit. Cybersicherheitsforscher haben ein bösartiges npm-Paket entdeckt, das Teil einer kürzlich offengelegten Kampagne für Lieferketten-Angriffe mit dem Namen MALFEX ist.

Von den acht identifizierten Paketen wurden drei als Loader für Overlord RAT identifiziert, während drei weitere ("cdn-img-fetch", "img-to-native" und "native-runner") zusammenarbeiteten, um einen Node.js-Stealer herunterzuladen und auszuführen. Das Paket mit dem Namen "imgdecode" wurde am 30. September 2026 von einem Nutzer namens "malfexteste8" in die Paket-Registry hochgeladen.

Zum Zeitpunkt der Erstellung dieses Artikels wurde es 979-mal heruntergeladen und ist weiterhin auf npm verfügbar. Die neueste Version des Pakets ist 1.0.3. "Das npm-Paket imgdecode verbirgt einen bösartigen Loader in einem kompilierten Node.js-Addon", erklärte SafeDep.

"Seine neunzeilige JavaScript-Datei (eine高-level Programmiersprache) lädt eine Windows-Dynamic-Link-Library (DLL). Wenn ein Node.js-Programm in einer Windows-Konsole require('imgdecode') aufruft, versucht die DLL, verschlüsselten Shellcode von GitHub herunterzuladen. Sie entschlüsselt die Antwort und injiziert das Ergebnis in einen neuen dllhost.exe-Prozess." MALFEX wurde erstmals sowohl von Checkmarx als auch von CloudSEK dokumentiert. Es handelt sich um die Bezeichnung für eine langjährige Kampagne, in deren Rahmen ein unbekannter Bedrohungsakteur seit dem 6. August 2023 bösartige Pakete auf npm veröffentlicht, mit dem Ziel, Windows-Systeme zu kompromittieren.

Diese Pakete wurden über fünf npm-Publisher-Handles veröffentlicht: malfexkkj, malfex_user, malfexteste2, malfexteste3, malfexteste4.