MALFEX npm包“imgdecode”在Windows原生插件中隐藏Shellcode加载器

事件经过

网络安全研究人员发现了一个恶意npm软件包，它是近期披露的名为MALFEX的软件供应链攻击（即通过目标所依赖的软件实施入侵的攻击）行动的一部分。MALFEX npm软件包“imgdecode”在Windows原生插件中隐藏了Shellcode加载器 Ravie Lakshmanan 2026年10月17日 恶意软件 / Windows安全 网络安全研究人员发现了一个恶意npm软件包，它是近期披露的名为MALFEX的软件供应链攻击行动的一部分。

在已识别的八个软件包中，有三个被发现充当Overlord RAT的加载器，另外三个（"cdn-img-fetch"、"img-to-native"和"native-runner"）协同工作，用于下载并运行一个Node.js窃密程序。名为"imgdecode"的软件包于2026年9月30日由一个名为"malfexteste8"的用户上传至软件包仓库。

截至发稿时，该包已被下载979次，并且仍可在npm上获取。该软件包名为"imgdecode"，于2026年9月30日由一名名为"malfexteste8"的用户上传至包注册表。

该包的最新版本为1.0.3。SafeDep表示，npm包imgdecode在一个已编译的Node.js插件中隐藏了一个恶意加载器。

“它的九行JavaScript（高级编程语言）文件会加载一个Windows动态链接库（DLL）。当Node.js程序在Windows控制台中调用require('imgdecode')时，该DLL会尝试从GitHub下载加密的shellcode。它会解密返回的内容，并将结果注入到一个新的dllhost.exe进程中。”MALFEX这一名称由Checkmarx和CloudSEK两家公司率先记录，用于指代一场长期进行的攻击活动：一个身份不明的威胁行为者自2023年8月6日起持续向npm发布恶意软件包，意图入侵Windows系统。

这些恶意软件包通过五个npm发布者账号发布：malfexkkj、malfex_user、malfexteste2、malfexteste3、malfexteste4。