Les chercheurs détectent Npm Imgdecode paquet lié à MALFEX qui attaque Windows

Les chercheurs en sécurité ont identifié un paquet malveillant publié dans l'enregistrement npm qui fait partie d'une campagne de chaîne d'approvisionnement visant Windows et surnommé MALFEX. Le paquet, appelé igdecode, paru à npm le 30 Septembre 2026 sous l'utilisateur "malfexteste8," a la plus récente version 1.0.3 et, selon les données disponibles, avait été téléchargé 979 fois au moment de la constatation. Des groupes de recherche tels que Checkmark et CloudSEK ont documenté différentes parties de cette campagne; en outre, l'analyse technique de SafeDep décrit comment le paquet intègre un chargeur natif qui finit par exécuter du code malveillant sur les machines Windows.

Les faits confirmés par les sociétés de sécurité sont les suivants: imgdecode contient une petite façade JavaScript qui charge un complément natif (un Node.js addon compilé comme DLL de MSVC). Ce composant natif télécharge un blob chiffré d'un dépôt GitHub associé à l'utilisateur "cavecrew", le défigure et, si le contenu de déchiffrement n'est pas simplement une image, il l'injecte dans un processus légitime Windows (dllhost.exe). Les versions précédentes de la campagne utilisaient plusieurs dépendances enchaînées - cdn-img-fitch, img-to-native, native-runner et ses remplacements - pour obtenir, déchiffrer et exécuter des binaires natifs (un exécutable Go et un voleur / RAT connu sous le nom de "movinlike"). Les détails techniques de base et la chronologie ont été publiés par les chercheurs et sont disponibles via les rapports de sécurité et l'entrée du paquet à npm; pour les références générales, vous pouvez voir la page Checkmark et l'analyse de CloudSEK.

Comment fonctionne la chaîne MALFEX techniquement: le vecteur initial est un paquet npm qui, lorsque requis par une application Node.js dans Windows, invoque le code natif. Ce code natif vérifie l'environnement (recherche de terminaux développeurs ou d'environnements d'analyse), télécharge une image JPG / PNG contenant des données chiffrées, la dénumérote avec une clé connue dans le code ("nif-runtime-2027" ou d'autres dans les variantes précédentes) et examine les premiers octets du résultat. Si la sortie de déchiffrement semble être une image, le chargeur s'arrête - une technique qui permet à l'opérateur de "éteindre" la charge utile en ne servant que des images -; sinon, il interprète le contenu comme shellcode ou exécutable et procède à l'injection dans un processus Windows pour exécuter la charge utile avec sigil. D'autres parties de la campagne ont fait des étapes intermédiaires: télécharger un exécutable Aller à% APPDATA%\ Microsoft\ Windows\ noeud _ runtime _ helper.exe qui a ensuite téléchargé et lancé le voleur à partir d'un serveur distant (IP observé: 104.234.65 [.] 75: 700).

La fonctionnalité logicielle finale observée comprend les capacités d'identification et de vol de données (fichiers avec des extensions telles que .kdbx, .pem, .ppk, .env), l'extraction des données du navigateur Chrome, les applications de chat et les clients de jeu, et la possibilité de recevoir des commandes WebSocket pour exécuter des commandes shell, transférer des fichiers, des processus de contrôle et simuler des entrées clavier / souris. Pour la persistance, l'échantillon ajoute une clé Exécuter au Registre et crée une tâche programmée appelée "MicrosoftEdgeUpdateService". Ces capacités et les noms d'appareils ont été documentés par les équipes d'intervention qui ont analysé les échantillons.

Ce qui est confirmé et ce qui reste incertain: il est confirmé que plusieurs paquets ont été publiés et que certains ont déjà été supprimés par npm après la divulgation publique ; il y a aussi des échantillons de code natif qui téléchargent et déchiffrent le contenu et qui injectent dans les processus Windows. Il est raisonnable et confirmé que la campagne vise à compromettre les systèmes Windows qui exécutent des paquets npm malveillants. Ce qui n'est pas publiquement confirmé, c'est la portée réelle des engagements dans les environnements de production (le nombre de téléchargements ne correspond pas nécessairement à des installations actives ou à des exécutions réussies), l'identité de l'opérateur derrière MALFEX et la question de savoir si toutes les infrastructures observées restent opérationnelles ou ont été démantelées. Aussi, bloquer une IP observée peut atténuer une partie du trafic, mais l'infrastructure d'un attaquant peut changer rapidement.

À qui ça sert ? Principalement pour les développeurs et les environnements Windows où les paquets npm sont utilisés sans validation stricte, en particulier les projets qui chargent des modules natifs ou manquent de mécanismes de contrôle d'intégrité. Il affecte également tout utilisateur qui a installé un des paquets identifiés (cdn-img-fitch, img-to-native, native-runner, imgbundle, runhelper, imgdecode ou d'autres du même éditeur), car l'exécution se produit lorsque le paquet est requis par une application Node.js sur Windows.

Incidences pratiques: dans les systèmes compromis, les identifiants, les phrases de soif et les fichiers sensibles peuvent avoir été exfiltrés ; les attaquants peuvent garder l'accès à distance à travers une RAT, les mouvements latéraux d'échelle ou établir la persistance pour les réinfections. Pour les propriétaires de clés cryptographiques ou les détenteurs de bourses, la recommandation technique consiste à considérer que les expressions stockées dans le système peuvent avoir été compromises : déplacer des fonds et des clés régénérantes est la seule mesure sûre pour éviter les pertes financières.

Mesures immédiates et concrètes à prendre par les intéressés : a) isoler l'équipement réseau pour éviter d'autres exfiltrations ou de contrôle et de contrôle; b) pour identifier et désinstaller des paquets malveillants (pour exécuter dans le projet npm s imgdecode ou pour examiner paquet-lock.json / fil. verrouiller et supprimer les dépendances suspectes); c) rechercher les artefacts natifs mentionnés (p. ex. % APPDATA%\\ Microsoft\ Windows\ noeud _ runtime _ helper.exe) et les entrées de persistance (pour consulter le registre avec requête rég et HKCU\\ Logiciels\\\ Windows\ RR + RR + s à signaler dans l'ordinateur, et à déplacer dans l'ordinateur et à effectuer l'ordinateur (65.75.75.70.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.60.@@

Recommandations pour les développeurs et l'équipement de sécurité: utiliser unitlock (lockfiles), vérifier la chaîne de dépendance avant de mettre à jour les librairies (audit npm et outils SCA), restreindre l'installation de paquets contenant des binaires natifs sans vérification, activer les politiques liberlist dans les dossiers privés et exiger 2FA pour les comptes de publication. Envisager d'adopter des outils de signature et de vérification de paquets tels que Sigstore pour les artefacts logiciels et revoir les binaires natifs avec analyse statique / dynamique avant utilisation dans des environnements sensibles (en savoir plus sur Sigstore dans https: / / sigstore.dev /).

Pour plus de contexte et de détails techniques, voir la documentation et les publications des équipes qui ont étudié MALFEX, par exemple les pages principales de Checkmark et CloudSEK, qui ont suivi la campagne et publié des analyses supplémentaires. https: / / checkmarci.com / et https: / / www.cloud. L'entrée npm pour le paquet est également disponible pour vérifier votre statut dans le registre: https: / / www.npmjs.com / paquet / imgdecode.

En bref, la menace MALFEX montre que la chaîne d'approvisionnement du paquet npm demeure un vecteur de compromis pour les systèmes, en particulier lors de la combinaison d'unités transitoires et de modules natifs sans contrôle. Agissez rapidement - isolez, recherchez les artefacts et la persistance, faites pivoter les pouvoirs et réinstallez-les au besoin - et renforcez les processus de vérification des unités sont les mesures concrètes qui permettront d'atténuer le risque immédiat et de réduire la probabilité de réinfection.