Beveiligingsonderzoekers van CloudSEK en Checkmarx hebben een langlopende malwarecampagne op npm blootgelegd die acht kwaadaardige pakketten omvat. Samen zijn ze 40.767 keer gedownload en installeerden ze, afhankelijk van het pakket, de Overlord-RAT of een stealer die wachtwoorden, chatgegevens en cryptowallets steelt. De onderzoekers noemen de campagne MALFEX.
Het gaat om de volgende pakketten:
- tlxbnhd
- tldriver
- mxdriver
- img-to-native
- native-runner
- function-flag
- function-color
- cdn-img-fetch
Function-flag is met 37.419 downloads verantwoordelijk voor het grootste deel van de verspreiding. Het pakket staat sinds juli 2024 op npm en kreeg begin augustus 2025 nog een update. Tlxbnhd, tldriver en mxdriver gebruiken install-hooks die bij het plaatsen van het pakket automatisch een Windows-programma downloaden en starten, de Overlord-RAT. Img-to-native werkt via zijn afhankelijkheid cdn-img-fetch, die een Go-programma ophaalt en uitvoert. Dat programma haalt op zijn beurt een stealer in Node.js binnen, gericht op Discord, browsers, Telegram en cryptowallets. Function-flag verstopt zijn kwaadaardige code in een postinstall-script dat per versie een ander adres aanspreekt. Versie 1.7.3 draait daarvoor een bestand met ogenschijnlijk onschuldige ASCII-art-functies, die in werkelijkheid op de achtergrond node.exe downloaden van cdnzona.discloud.app.
Overlord is een opensource remote access trojan geschreven in Go, die voor zijn command-and-control-adres een ongewone truc gebruikt: de malware leest transacties op de Solana-blockchain uit om te bepalen waarmee hij moet verbinden. Volgens CloudSEK wijzen Portugese taalfragmenten in de code en de vermelding van een maker met de naam ‘Murizada’ op een Braziliaanse ontwikkelaar. Git-commits in de broncode zijn getimed met tijdzone UTC-3, gangbaar in Brazilië. Onderzoekers gaan ervan uit dat één en dezelfde persoon achter alle twaalf pakketten zit die sinds augustus 2023 onder dit account zijn gepubliceerd.
Drie van de acht pakketten, function-flag, function-color en cdn-img-fetch, stonden op het moment van publicatie nog gewoon op npm. Juist dit soort kleine, generiek klinkende hulppakketten wordt bij een dependency-review het minst kritisch bekeken, terwijl ze bij installatie dezelfde rechten krijgen als een groot framework. Voor ontwikkelaars en bedrijven is dit een aanleiding om niet blindelings te vertrouwen op een hoog downloadaantal of een onschuldig klinkende naam. Controleer bij nieuwe afhankelijkheden wat een postinstall-script precies doet, leg versies vast in een lockfile zodat een kwaadaardige update niet ongemerkt wordt meegenomen, en zet een scanner als npm audit, Socket of Snyk in de CI-pipeline om install-scripts en verdachte netwerkaanvragen vroeg te signaleren. Kijk bij twijfel ook naar de publicatiegeschiedenis en het aantal onderhouders van een pakket: een generieke naam met weinig downloads en een pas aangemaakt account is reden voor extra argwaan.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Gebruik je npm-pakketten in je build, controleer dan bij nieuwe of bijgewerkte afhankelijkheden wat het postinstall-script precies doet en leg versies vast in een lockfile, zodat een kwaadaardige update niet automatisch wordt meegenomen. Draai daarnaast een scanner als npm audit, Socket of Snyk in de CI-pipeline om install-scripts en verdachte netwerkaanvragen vroeg te signaleren.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.