Forscher erkennen Npm Imgdecode-Paket verknüpft mit MALFEX, das Windows angreift

Sicherheitsforscher haben ein schädliches Paket identifiziert, das im npm-Record veröffentlicht wird, das Teil einer Supply-Chain-Kampagne ist, die auf Windows und nicknamed MALFEX zielt. Das Paket, genannt Imgdecode, erschien auf npm am 30. September 2026 unter dem Benutzer "malfexteste8", hat die jüngste Version 1.0.3 und nach den verfügbaren Daten 979 mal zum Zeitpunkt der Suche heruntergeladen worden. Forschungsgruppen wie Checkmark und CloudSEK haben verschiedene Teile dieser Kampagne dokumentiert; außerdem beschreibt SafeDeps technische Analyse, wie das Paket ein natives Ladegerät enthält, das auf Windows-Maschinen mit bösartigen Codes endet.

Die von Sicherheitsfirmen bestätigten Tatsachen sind wie folgt: Imgdecode enthält eine kleine JavaScript-Fassade, die eine native Ergänzung lädt (ein Node.js addon kompiliert als DLL von MSVC). Diese native Komponente lädt einen verschlüsselten Blob aus einem GitHub-Repository herunter, das mit dem Benutzer "cavecrew" verbunden ist, und, wenn der entschlüsselte Inhalt nicht einfach ein Bild ist, injiziert es in einen legitimen Windows-Prozess (dllhost.exe). Frühere Versionen der Kampagne verwendet mehrere Kettenabhängigkeiten - cdn-img-fitch, img-to-native, native-runner und seine Ersatz - zu erhalten, entschlüsseln und führen native Binaries (ein ausführbare Go und ein Stealer / RAT als "movinlike"). Die grundlegenden technischen Details und Chronologie wurden von Forschern veröffentlicht und sind über die Sicherheitsberichte und den Eintrag des Pakets in npm verfügbar; für allgemeine Referenzen können Sie die Checkmark-Seite und die Analyse von CloudSEK sehen.

Wie die MALFEX-Kette technisch funktioniert: der initiale Vektor ist ein npm-Paket, das, wenn es von einer Node.js-Anwendung in Windows benötigt wird, nativen Code anruft. Dieser native Code überprüft die Umgebung (für Entwicklerterminals oder Analyseumgebungen), lädt ein JPG / PNG-Bild mit verschlüsselten Daten herunter, nummeriert es mit einem bekannten Schlüssel innerhalb des Codes ("nif-runtime-2027" oder andere in früheren Varianten) und untersucht die ersten Bytes des Ergebnisses. Wenn die Entschlüsselungsausgabe ein Bild erscheint, stoppt das Ladegerät - eine Technik, die es dem Bediener erlaubt, die Nutzlast durch nur Bilder "auszuschalten" -; wenn nicht, interpretiert es den Inhalt als Shellcode oder ausführbar und injiziert es in einen Windows-Prozess, um die Nutzlast mit sigil auszuführen. Andere Teile der Kampagne taten Zwischenschritte: herunterladen ein ausführbar Go to% APPDATA%\ Microsoft Windows\ node _ runtime _ helper.exe, die dann heruntergeladen und lief den Stealer von einem Remote-Server (IP beobachtet: 104.234.65 [.] 75: 700).

Die beobachtete End-Software-Funktionalität umfasst Anmelde- und Datendiebstahl-Funktionen (Dateien mit Erweiterungen wie .kdbx, .pem, .ppk, .env), Chromium-Browser-Datenextraktion, Chat-Anwendungen und Game-Kunden, und die Fähigkeit, WebSocket-Befehle zu empfangen, Shell-Befehle auszuführen, Dateien, Steuerungsprozesse und Tastatur / Maus-Eingänge zu simulieren. Zur Beharrlichkeit fügt die Probe dem Register einen Run-Schlüssel hinzu und erstellt eine geplante Aufgabe namens "MicrosoftEdgeUpdateService". Diese Fähigkeiten und Gerätenamen wurden von den Antwortteams dokumentiert, die die Proben analysierten.

Was bestätigt wird und was unsicher bleibt: Es wird bestätigt, dass mehrere Pakete veröffentlicht wurden und dass einige bereits von npm nach der öffentlichen Offenlegung entfernt wurden; es gibt auch native Codemuster, die Inhalte herunterladen und entschlüsseln und in Windows-Prozesse injizieren. Es ist vernünftig und bestätigt, dass die Kampagne darauf abzielt, Windows-Systeme zu kompromittieren, die schädliche npm-Pakete ausführen. Was nicht öffentlich bestätigt wird, ist der tatsächliche Umfang der Verpflichtungen in Produktionsumgebungen (die Anzahl der Downloads beträgt nicht unbedingt aktive Einrichtungen oder erfolgreiche Ausführung), die Identität des Betreibers hinter MALFEX und ob alle beobachteten Infrastrukturen betriebsbereit bleiben oder abgebaut wurden. Außerdem kann die Blockierung einer beobachteten IP einen Teil des Verkehrs abmildern, aber die Infrastruktur eines Angreifers kann sich schnell ändern.

Wer ist es? Hauptsächlich für Entwickler und Windows-Umgebungen, in denen npm-Pakete ohne strenge Validierung verwendet werden, insbesondere Projekte, die native Module laden oder Integritätskontrollmechanismen fehlen. Es beeinflusst auch jeden Benutzer, der eine der identifizierten Pakete installiert hat (cdn-img-fitch, img-to-native, native-runner, imgbundle, runhelper, imgdecode oder andere von demselben Editor), wie die Ausführung auftritt, wenn das Paket durch eine Node.js-Anwendung unter Windows benötigt wird.

Praktische Auswirkungen: In kompromittierten Systemen können Anmeldeinformationen, Durstphrasen und sensible Dateien exfiltriert worden sein; Angreifer können Fernzugriff durch einen Ratten, Skalen-Seitenbewegungen halten oder Beharrlichkeit für Wiederinfektionen festsetzen. Für kryptographische Schlüsselbesitzer oder Geldbörsenbesitzer ist die technische Empfehlung zu berücksichtigen, dass gespeicherte Phrasen im System möglicherweise beeinträchtigt wurden: Umzugsmittel und Regenerierungsschlüssel sind die einzige sichere Maßnahme, um finanzielle Verluste zu vermeiden.

Sofortige und konkrete Maßnahmen, die von den Betroffenen zu ergreifen sind: a) Isolierung der Ausrüstung Netzwerk, um weitere Exfiltration oder Steuerung zu vermeiden; (b) um schädliche Pakete zu identifizieren und zu deinstallieren (um im npm s imgdecode Projekt zu laufen oder Paket-lock.json / Garn zu überprüfen. sperren und entfernen verdächtige Abhängigkeiten); c) zur Suche nach nativen Artefakten (z.B. % APPDATA%\ Microsoft Windows\ node _ runtime _ helper.exe) und Persistenzeinträge (um das Register mit reg-Abfrage und HKCU\ zu konsultieren) Software\\ Windows\ RR + RR + s, die im Computer gemeldet werden, und um in den Computer verlagert werden und um den Computer auszuführen (65.75.75.70.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.

Empfehlungen für Entwickler und Sicherheitsausrüstung: Verwenden Sie Unit Lock (lockfiles), überprüfen Sie die Abhängigkeitskette vor der Aktualisierung von Bookstores (npm Audit und SCA-Tools), beschränken Sie die Installation von Paketen, die native Binaries enthalten, ohne Überprüfung, aktivieren Sie die Richtlinien für die Liste in privaten Aufzeichnungen und benötigen 2FA für Veröffentlichungskonten. Betrachten Sie die Annahme von Paketsignaturen und Verifikationstools wie Sigstore für Software-Artefakte und überprüfen native Binaries mit statischer / dynamischer Analyse vor der Verwendung in sensiblen Umgebungen (mehr zu Sigstore in https: / / sigstore.dev /)

Weitere inhaltliche und technische Details finden Sie in den Dokumentationen und Publikationen der Teams, die MALFEX untersucht haben, beispielsweise die Hauptseiten von Checkmark und CloudSEK, die der Kampagne gefolgt sind und weitere Analysen veröffentlicht haben. https: / / checkmarci.com / und http://www.cloud. Der Eintrag für das Paket ist ebenfalls verfügbar, um Ihren Status im Register zu überprüfen: https: / / www.npmjs.com / Paket / imgdecode.

Kurz gesagt zeigt die MALFEX-Drohung, dass die npm-Paket-Versorgungskette ein Vektor für Kompromisssysteme bleibt, insbesondere bei der Kombination von Transitionseinheiten und nativen Modulen ohne Kontrollen. Aktivieren Sie schnell - isolieren, suchen nach Artefakten und Beharrlichkeit, rotieren Sie Anmeldeinformationen und installieren Sie ggf. neu - und stärken Sie die Einheitsverifikation Prozesse sind die konkreten Maßnahmen, die das unmittelbare Risiko abmildern und die Wahrscheinlichkeit von Wiederinfektionen verringern.