Eight Malicious npm Packages Downloaded 40,767 Times Deliver Overlord RAT and Stealer
The Hacker News · 7 oct, 19:43
Qué hacer: Elimina los paquetes npm maliciosos identificados (tlxbnhd, tldriver, mxdriver, img-to-native, native-runner, function-flag, function-color, cdn-img-fetch) de tus dependencias y audita los sistemas que los instalaron en busca de artefactos maliciosos como node.exe en %APPDATA%.
Investigadores de ciberseguridad han divulgado detalles de una campaña de malware en la cadena de suministro de npm que distribuye stealers e información y troyanos de acceso remoto (RAT). La campaña, denominada MALFEX, ha sido atribuida a un único actor que ha publicado 12 paquetes desde agosto de 2023, ocho de los cuales se han identificado como maliciosos y han sido descargados un total de 40.767 veces. Los paquetes entrega Overlord RAT, un troyano de acceso remoto escrito en Go que usa transacciones de Solana para obtener direcciones de command-and-control, y movinlike, un stealer de Node.js que roba datos de Discord, navegadores, Telegram y carteras de criptomonedas.
Ocho de los doce paquetes maliciosos publicados desde agosto de 2023 han sido identificados. El paquete "function-flag", que representa 37.419 de las 40.767 descargas totales, fue publicado en julio de 2024 con su versión más reciente el 4 de agosto de 2025. Tres paquetes ("tlxbnhd", "tldriver" y "mxdriver") actúan como cargadores de Overlord RAT, con código malicioso activado mediante lifecycle hooks que descargan y ejecutan un ejecutable de Windows. Otro subconjunto, como "img-to-native", requiere "cdn-img-fetch" para recuperar y ejecutar un ejecutable de Go que luego obtiene un stealer de Node.js.
El paquete "function-flag" en su versión 1.7.3 ejecuta un script postinstall que descarga node.exe desde cdnzona.discloud.app (un servicio de hosting brasileño), lo guarda en %APPDATA%\node.exe y lo ejecuta con la ventana oculta. Overlord RAT ha sido observado en otras dos campañas desde julio de 2026: una explotando vulnerabilidades de WordPress (CVE-2026-63030 y CVE-2026-60137, conocidas como wp2shell) y otra en macOS usando un instalador falso de Zoom. El operador presenta características lingüísticas portuguesas y brasileñas según análisis de commits de git y descripciones de repositorios.
Puntos clave
- Ocho paquetes npm maliciosos descargados 40.767 veces en total, principalmente "function-flag" con 37.419 descargas
- Tres paquetes actúan como cargadores de Overlord RAT mediante lifecycle hooks; otros distribuyen stealer movinlike
- El paquete "function-flag" descarga node.exe desde cdnzona.discloud.app mediante script postinstall
- Overlord RAT también observado en campañas de explotación de WordPress y falsos instaladores de Zoom desde julio de 2026
- Atribución preliminar sugiere operador brasileño de habla portuguesa, aunque el alcance es global