npm balík imgdecode: Windows loader spojený s kampaňou MALFEX

Výskumníci zo SafeDep identifikovali v npm balíku imgdecode natívny doplnok pre Windows, ktorý sa aktivuje pri načítaní knižnice, sťahuje a dešifruje obsah a pokúša sa ho vložiť do procesu dllhost.exe.

Bezpečnostná firma SafeDep označila imgdecode Windows loader za balík spojený s kampaňou MALFEX v registri npm. Balík vo verziách 1.0.0 až 1.0.3 obsahoval natívny doplnok pre Node.js určený pre Windows. Podľa analýzy sa doplnok aktivuje už pri volaní require('imgdecode'), nie prostredníctvom inštalačného skriptu postinstall.

Riziko sa preto týka Windows vývojárskych a build systémov, na ktorých bol balík nielen nainštalovaný, ale aj načítaný aplikáciou alebo skriptom. Samotná kontrola postinstall skriptov by takýto prípad nemusela zachytiť.

Ako funguje imgdecode Windows loader

SafeDep uvádza, že natívny doplnok stiahne z GitHubu zašifrovaný obsah, dešifruje ho a následne sa pokúsi vložiť výsledok do procesu dllhost.exe. Ide o presun škodlivej logiky z JavaScriptu do skompilovaného natívneho doplnku, čo môže komplikovať bežnú kontrolu závislostí v projektoch Node.js.

Verzia 1.0.3 bola publikovaná 11. októbra 2026. Odstránila závislosť od ďalšieho balíka spájaného s MALFEX, nazvaného imgbundle. Podľa SafeDep bol imgdecode 13. októbra stále dostupný v npm. The Hacker News 17. októbra rovnako uviedol, že balík v registri zostal dostupný. Jeho stav po tomto dátume však nebol nezávisle overený priamo v npm registri.

Prepojenie na kampaň MALFEX

Technická analýza SafeDep prepája balík imgdecode s MALFEX cez zhodné infraštruktúrne prvky a hash skoršieho downloadera. Výskumníci však nepotvrdili, že shellcode sťahovaný práve balíkom imgdecode vedie k rovnakému stealeru a vzdialenému prístupovému nástroju (RAT), ktoré boli pozorované v skoršej vetve kampane. SafeDep túto súvislosť označuje za inferenciu.

Nie sú dostupné ani potvrdené informácie o úspešnom zneužití imgdecode proti konkrétnym obetiam. Zistenia sa týkajú analýzy kódu balíka a jeho technických väzieb, nie verejne doloženého incidentu u používateľa.

Čo majú skontrolovať tímy používajúce imgdecode

Organizácie, ktoré nájdu imgdecode v súboroch lockfile alebo v stromoch závislostí, by mali balík odstrániť a preveriť dotknuté Windows hosty na známky kompromitácie. Zároveň by mali zvážiť rotáciu prihlasovacích údajov, ktoré mohli byť na takýchto systémoch vystavené.

  • Vyhľadajte balík imgdecode vo všetkých lockfile a build konfiguráciách.
  • Overte, či bol balík načítaný na systémoch Windows.
  • Preverte dotknuté hosty vrátane procesov a sieťovej komunikácie súvisiacej s incidentom.
  • Sledujte prípadné odstránenie balíka z npm alebo bezpečnostné upozornenie registra.

Výskumníci budú ďalej sledovať nové balíky a účty spojené s infraštruktúrou MALFEX, ako aj prípadné potvrdenie kompromitácií používateľov.

Súvisiace články

Zdroje

  • SafeDep – Pôvodná technická analýza balíka, jeho verzií, mechanizmu načítania, sťahovania a injekcie kódu, ako aj väzby na MALFEX.
  • The Hacker News – Nezávisle sumarizuje zistenia SafeDep a uvádza, že balík bol 17. októbra stále dostupný v npm.

Overené a aktualizované: 17. 10. 2026 15:24

Značky
Zdieľanie

Súvisiace