MALFEX npm Package 'imgdecode' Hides Shellcode Loader in Windows Native Addon
The Hacker News · 17 oct, 13:11
Investigadores de ciberseguridad han descubierto un paquete npm malicioso llamado 'imgdecode' que forma parte de la campaña MALFEX, una serie de ataques a la cadena de suministro de software que lleva activa desde agosto de 2023. El paquete carga un shellcode desde GitHub en sistemas Windows y lo inyecta en dllhost.exe; ha sido descargado 979 veces y sigue disponible en npm. El actor de amenaza detrás de MALFEX responde rápidamente a las eliminaciones de npm publicando paquetes de reemplazo, demostrando una operación sofisticada y persistente dirigida a comprometer ordenadores Windows.
El paquete 'imgdecode' (versión 1.0.3) contiene un loader malicioso en un complemento compilado de Node.js de 64 bits. Su código JavaScript de nueve líneas carga una DLL que intenta descargar shellcode cifrado desde el repositorio GitHub 'cavecrew/proj', lo descifra y lo inyecta en un proceso dllhost.exe. El payload descifrado se valida comprobando las firmas JPEG y PNG, lo que sugiere que el operador podría desactivar el loader sirviendo contenido cifrado que se descifra como una imagen legítima.
MALFEX es una campaña de largo recorrido que comenzó el 6 de agosto de 2023 con publicaciones en npm bajo cinco identificadores de editor: malfexkkj, malfex_user, malfexteste2, malfexteste3 y malfexteste4. De los ocho paquetes identificados, tres actuaban como loaders del RAT Overlord, mientras que otros tres ('cdn-img-fetch', 'img-to-native' y 'native-runner') trabajaban juntos para descargar y ejecutar un stealer de Node.js. El actor responde a las divulgaciones públicas: entre el 28 de septiembre y el 11 de octubre de 2026, publicó 'imgbundle' y 'runhelper' como reemplazos, y luego 'imgdecode' tras la eliminación de npm de los anteriores, con actualizaciones frecuentes de versiones. La aplicación maliciosa incluye verificaciones anti-análisis para máquinas virtuales, sandboxes y herramientas como Process Monitor, y roba ficheros con extensiones específicas (.kdbx, .pem, .ppk, .env) además de frases semilla.
Puntos clave
- El paquete imgdecode versión 1.0.3 sigue disponible en npm con 979 descargas
- Carga shellcode desde GitHub (repositorio cavecrew/proj) y lo inyecta en dllhost.exe
- El actor responde en menos de 48 horas a las eliminaciones de npm con paquetes de reemplazo
- Contiene verificaciones anti-análisis y roba información sensible (claves privadas, bases de datos de contraseñas)
- La campaña MALFEX lleva activa desde agosto de 2023 bajo múltiples identificadores de editor