Investigadores detectan paquete npm imgdecode vinculado a MALFEX que ataca Windows

Investigadores de seguridad han identificado un paquete malicioso publicado en el registro de npm que forma parte de una campaña de cadena de suministro dirigida a Windows y apodada MALFEX. El paquete, llamado imgdecode, apareció en npm el 30 de septiembre de 2026 bajo el usuario "malfexteste8", tiene la versión más reciente 1.0.3 y, según los datos disponibles, había sido descargado 979 veces al momento del hallazgo. Grupos de investigación como Checkmarx y CloudSEK han documentado distintas piezas de esta campaña; además, el análisis técnico de SafeDep describe cómo el paquete incorpora un cargador nativo que acaba ejecutando código malicioso en máquinas Windows.

Los hechos confirmados por las firmas de seguridad son los siguientes: imgdecode contiene una pequeña fachada JavaScript que carga un complemento nativo (un addon de Node.js compilado como DLL de MSVC). Ese componente nativo descarga un blob cifrado desde un repositorio de GitHub asociado al usuario "cavecrew", lo descifra y, si el contenido desencriptado no es simplemente una imagen, lo inyecta en un proceso legítimo de Windows (dllhost.exe). Versiones anteriores de la campaña usaban varias dependencias encadenadas —cdn-img-fetch, img-to-native, native-runner y sus reemplazos— para obtener, descifrar y ejecutar binarios nativos (un ejecutable Go y un stealer/RAT conocido como "movinlike"). Los detalles técnicos básicos y la cronología fueron publicados por investigadores y están disponibles a través de los reportes de seguridad y la propia entrada del paquete en npm; para referencias generales puede consultarse la página de Checkmarx y el análisis de CloudSEK.

Cómo opera técnicamente la cadena MALFEX: el vector inicial es un paquete npm que, al ser requerido por una aplicación Node.js en Windows, invoca código nativo. Ese código nativo comprueba el entorno (buscando terminales de desarrollador o entornos de análisis), descarga una imagen JPG/PNG que contiene datos cifrados, la descifra con una clave conocida dentro del código ("nif-runtime-2027" u otras en variantes anteriores) y examina los primeros bytes del resultado. Si la salida desencriptada parece ser una imagen, el cargador se detiene —una técnica que permite al operador "apagar" la carga útil sirviendo solo imágenes—; si no, interpreta el contenido como shellcode o ejecutable y procede a inyectarlo en un proceso de Windows para ejecutar la carga útil con sigilo. Otras piezas de la campaña realizaban pasos intermedios: descargar un ejecutable Go a %APPDATA%\Microsoft\Windows\node_runtime_helper.exe que luego descargaba y ejecutaba el stealer desde un servidor remoto (IP observada: 104.234.65[.]75:700).

La funcionalidad del software final observado incluye capacidades de robo de credenciales y datos (archivos con extensiones como .kdbx, .pem, .ppk, .env), extracción de datos de navegadores Chromium, aplicaciones de chat y clientes de juegos, y la capacidad de recibir comandos vía WebSocket para ejecutar comandos en shell, transferir archivos, controlar procesos y simular entradas de teclado/ratón. Para persistencia, la muestra añade una clave Run en el Registro y crea una tarea programada llamada "MicrosoftEdgeUpdateService". Estas capacidades y nombres de artefactos fueron documentadas por los equipos de respuesta que analizaron las muestras.

Qué está confirmado y qué sigue siendo incierto: está confirmado que múltiples paquetes fueron publicados y que algunos ya fueron eliminados por npm tras la divulgación pública; también hay muestras de código nativo que descargan y descifran contenido y que realizan inyección en procesos Windows. Es razonable y confirmado que la campaña apunta a comprometer sistemas Windows que ejecuten paquetes npm maliciosos. Lo que no está confirmado públicamente es el alcance real de compromisos en entornos de producción (el número de descargas no equivale necesariamente a instalaciones activas ni a ejecuciones exitosas), la identidad del operador detrás de MALFEX y si toda la infraestructura observada sigue operativa o ha sido desmantelada. Asimismo, bloquear una IP observada puede mitigar parte del tráfico, pero la infraestructura de un atacante puede cambiar rápidamente.

¿A quién afecta? Principalmente a desarrolladores y entornos Windows donde se usan paquetes npm sin validación estricta, especialmente proyectos que cargan módulos nativos o carecen de mecanismos de control de integridad. También afecta a cualquier usuario que tenga instalado alguno de los paquetes identificados (cdn-img-fetch, img-to-native, native-runner, imgbundle, runhelper, imgdecode u otros del mismo editor), pues la ejecución ocurre cuando el paquete es requerido por una aplicación Node.js en Windows.

Consecuencias prácticas: en sistemas comprometidos pueden haberse exfiltrado credenciales, seed phrases y archivos sensibles; los atacantes pueden mantener acceso remoto mediante un RAT, escalar movimientos laterales o establecer persistencia para re-infecciones. Para propietarios de claves criptográficas o monederos, la recomendación técnica es considerar que seed phrases almacenadas en el sistema pueden haber sido comprometidas: mover fondos y regenerar claves es la única medida segura para evitar pérdidas financieras.

Medidas inmediatas y concretas que deben tomar los afectados: a) aislar el equipo de la red para evitar más exfiltración o mando y control; b) identificar y desinstalar los paquetes maliciosos (ejecutar en el proyecto npm ls imgdecode o revisar package-lock.json/yarn.lock y eliminar dependencias sospechosas); c) buscar artefactos nativos mencionados (por ejemplo %APPDATA%\\Microsoft\\Windows\\node_runtime_helper.exe) y entradas de persistencia (consultar el Registro con reg query HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run y las tareas programadas con schtasks /Query /TN MicrosoftEdgeUpdateService); d) ejecutar un análisis forense o EDR para detectar inyecciones en procesos como dllhost.exe y conexiones salientes hacia direcciones observadas (104.234.65.75 y puertos 700/7007 fueron reportados); e) rotar credenciales y claves, y transferir fondos de monederos cuyas seed phrases pudieron estar en el equipo; f) conservar imágenes del disco y logs antes de proceder a una reinstalación completa si se sospecha compromiso profundo.

Recomendaciones para desarrolladores y equipos de seguridad: use bloqueo de dependencias (lockfiles), verifique la cadena de dependencia antes de actualizar librerías (npm audit y herramientas SCA), restrinja la instalación de paquetes que contengan binarios nativos sin verificación, habilite políticas de allowlist en registries privados y exija 2FA para cuentas de publicación. Considere adoptar herramientas de firma y verificación de paquetes como Sigstore para artefactos de software y revisar binarios nativos con análisis estático/dinámico antes de su uso en entornos sensibles (más información sobre Sigstore en https://sigstore.dev/).

Para más contexto y detalles técnicos puede consultarse la documentación y publicaciones de los equipos que han investigado MALFEX, por ejemplo las páginas principales de Checkmarx y CloudSEK, que han seguido la campaña y publican análisis adicionales https://checkmarx.com/ y https://www.cloudsek.com/. También puede consultarse la entrada de npm correspondiente al paquete para comprobar su estado en el registro: https://www.npmjs.com/package/imgdecode.

En resumen: la amenaza MALFEX demuestra que la cadena de suministro de paquetes npm sigue siendo un vector para comprometer sistemas, especialmente cuando se combinan dependencias transitorias y módulos nativos sin controles. Actuar con rapidez —aislar, buscar artefactos y persistencia, rotar credenciales y reinstalar si procede— y reforzar procesos de verificación de dependencias son las medidas concretas que mitigarán el riesgo inmediato y reducirán la probabilidad de reinfecciones.