Pesquisadores detectam pacote npm imgdecode ligado a MALFEX que ataca Windows

Pesquisadores de segurança identificaram um pacote malicioso publicado no registro de npm que faz parte de uma campanha de cadeia de fornecimento dirigida ao Windows e apodada MALFEX. O pacote, chamado imgdecode, apareceu em npm em 30 de setembro de 2026 sob o usuário "malfexteste8", tem a versão mais recente 1.0.3 e, segundo os dados disponíveis, havia sido baixado 979 vezes ao momento do achado. Grupos de pesquisa como Checkmarx e CloudSEK documentaram diferentes peças desta campanha; além disso, a análise técnica de SafeDep descreve como o pacote incorpora um carregador nativo que acaba executando código malicioso em máquinas Windows.

Os fatos confirmados pelas assinaturas de segurança são os seguintes: imgdecode contém uma pequena fachada JavaScript que carrega um complemento nativo (um addon de Node.js compilado como DLL de MSVC). Esse componente nativo descarrega um blob criptografado a partir de um repositório do GitHub associado ao usuário "cavecrew", descodificação e, se o conteúdo desencriptado não for simplesmente uma imagem, injeta-o num processo legítimo do Windows (dllhost.exe). Versões anteriores da campanha usavam várias dependências encadeadas — cdn-img-fetch, img-to-native, native-runner e suas substituições — para obter, decifrar e executar binários nativos (um executável Go e um stealer/RAT conhecido como "movinlike"). Os detalhes técnicos básicos e a cronologia foram publicados por pesquisadores e estão disponíveis através dos relatórios de segurança e a própria entrada do pacote em npm; para referências gerais pode ser consultada a página de Checkmarx e a análise do CloudSEK.

Como funciona tecnicamente a cadeia MALFEX: o vetor inicial é um pacote npm que, ao ser exigido por uma aplicação Node.js no Windows, invoca código nativo. Esse código nativo verifica o ambiente (procurando terminais de desenvolvedor ou ambientes de análise), descarrega uma imagem JPG/PNG que contém dados criptografados, descodificação com uma chave conhecida dentro do código ("nif-runtime-2027" ou outras em variantes anteriores) e examina os primeiros bytes do resultado. Se a saída desencriptada parece ser uma imagem, o carregador pára - uma técnica que permite ao operador "apagar" a carga útil servindo apenas imagens -; se não, interpreta o conteúdo como shellcode ou executável e procede à injeção num processo do Windows para executar a carga útil com sigilo. Outras peças da campanha realizavam passos intermédios: transferir um executável Go para% APPDATA%\ Microsoft\ Windows\ node_ runtime_helper.exe que depois descarregava e executava o stealer a partir de um servidor remoto (IP observada: 104.234.65[.]75:700).

A funcionalidade do software final observada inclui capacidades de roubo de credenciais e dados (arquivos com extensões como .kdbx, .pem, .ppk, .env), extração de dados de navegadores Chromium, aplicativos de bate-papo e clientes de jogos, e capacidade de receber comandos via WebSocket para executar comandos em shell, transferir arquivos, controlar processos e simular entradas de teclado/ratão. Para persistência, a amostra adiciona uma chave Run no Registro e cria uma tarefa programada chamada "MicrosoftEdgeUpdateService". Essas capacidades e nomes de artefatos foram documentadas pelas equipes de resposta que analisaram as amostras.

O que está confirmado e o que permanece incerto: está confirmado que múltiplos pacotes foram publicados e que alguns já foram eliminados por npm após a divulgação pública; também há amostras de código nativo que descarregam e decifram conteúdo e que realizam injeção em processos Windows. É razoável e confirmado que a campanha visa comprometer sistemas Windows que executem pacotes npm maliciosos. O que não está confirmado publicamente é o alcance real de compromissos em ambientes de produção (o número de downloads não equivale necessariamente a instalações activas ou a execuções bem-sucedidas), a identidade do operador por trás de MALFEX e se toda a infra-estrutura observada continua operacional ou foi desmantelada. Além disso, bloquear um IP observado pode mitigar parte do tráfego, mas a infraestrutura de um atacante pode mudar rapidamente.

Quem afeta? Principalmente desenvolvedores e ambientes Windows onde são usados pacotes npm sem validação estrita, especialmente projetos que carregam módulos nativos ou não possuem mecanismos de controle de integridade. Também afeta qualquer usuário que tenha instalado algum dos pacotes identificados (cdn-img-fetch, img-to-native, native-runner, imgbundle, runhelper, imgdecode ou outros do mesmo editor), pois a execução ocorre quando o pacote é exigido por uma aplicação Node.js no Windows.

Consequências práticas: em sistemas comprometidos podem ter exfiltrado credenciais, seed phrases e arquivos sensíveis; os atacantes podem manter acesso remoto através de um RAT, escalar movimentos laterais ou estabelecer persistência para reinfeções. Para proprietários de chaves criptográficas ou carteiras, a recomendação técnica é considerar que seed phrases armazenadas no sistema podem ter sido comprometidas: mover fundos e regenerar chaves é a única medida segura para evitar perdas financeiras.

Medidas imediatas e concretas a tomar pelos interessados: a) isolar a equipe da rede para evitar mais exfiltração ou comando e controlo; b) identificar e desinstalar os pacotes maliciosos (ejecutar no projecto npm ls imgdecode ou rever package-lock.json/yarn.lock e remover dependências suspeitas); c) procurar artefatos nativos mencionados (por exemplo %APPDATA%\\ Microsoft\\ Windows\\\ node_ runtime_ helper.exe) e entradas de persistência (consultar o Registo com reg query HKCU\\Software\\Microsoft\\ Windows\\CurrentVersion\\\Run e as tarefas agendadas com schtasks /Query /TN MicrosoftEdgeUpdateService); d) executar uma análise forense ou EDR para detectar injeções em processos como o dllhost.exe e ligações salientes para endereços observados (104.234.65.75 e portos 700/7007 foram reportados); e) rotar credenciais e chaves, e transferir fundos de carteiras cujas seed phrases puderam estar no equipamento; f) conservar imagens do disco e logs antes de proceder a uma reinstalação completa se se suspeitar de compromisso profundo.

Recomendações para desenvolvedores e equipamentos de segurança: use bloqueio de dependências (lockfiles), verifique a cadeia de dependência antes de atualizar livrarias (npm audit e ferramentas SCA), restrinja a instalação de pacotes contendo binários nativos sem verificação, habilite políticas de allowlist em registries privados e exija 2FA para contas de publicação. Considere a adoção de ferramentas de assinatura e verificação de pacotes como a Sigstore para artefatos de software e revisar binários nativos com análise estática/dinâmica antes de usar em ambientes sensíveis (mais informações sobre Sigstore em https://sigstore.dev/).

Para mais contexto e detalhes técnicos, consultar a documentação e publicações dos equipamentos pesquisados por MALFEX, por exemplo, as principais páginas de Checkmarx e CloudSEK, que seguiram a campanha e publicam análises adicionais https://checkmarx.com/ e https://www.cloudsek.com/. Você também pode consultar a entrada do npm correspondente ao pacote para verificar o seu estado no registo: https://www.npmjs.com/package/imgdecode.

Em resumo: a ameaça MALFEX demonstra que a cadeia de fornecimento de pacotes npm continua a ser um vetor para comprometer sistemas, especialmente quando se combinam dependências transitórias e módulos nativos sem controles. Atuar com rapidez –alhar, buscar artefatos e persistência, rotar credenciais e reinstalar se for caso disso – e reforçar processos de verificação de dependências são as medidas concretas que mitigarão o risco imediato e reduzirão a probabilidade de reinfeções.