Beveiligingsonderzoekers hebben een kwaadaardig npm-pakket ontdekt dat deel uitmaakt van de supply-chain-campagne die bekendstaat als MALFEX. Het pakket, genaamd “imgdecode”, werd op 30 september 2026 geüpload naar het npm-register door een gebruiker met de naam “malfexteste8”.
Onderzoekers van SafeDep analyseerden de versies 1.0.0 tot en met 1.0.3 van het pakket en troffen een native C++ DLL aan, een zogeheten Windows native addon met de bestandsnaam imgdecode.node. Die addon haalt versleutelde shellcode op van GitHub en injecteert die in een dllhost.exe-proces dat eerst bewust in een suspended toestand wordt gezet. Dllhost.exe is een legitiem Windows-systeemproces, wat de kwaadaardige code onder een vertrouwde procesnaam verbergt. De keuze voor een native addon in plaats van een install-script helpt de aanvallers bovendien detectiemechanismen te omzeilen die juist letten op verdachte npm install-scripts.
De shellcode wordt ontsleuteld met de AES-256-CBC-sleutel “nif-runtime-2027”. Van daaruit loopt de infectieketen door naar een downloader geschreven in Go, die uiteindelijk een geavanceerde Windows-stealer en remote access trojan aflevert, in onderzoeksrapportages aangeduid als Overlord RAT.
De MALFEX-campagne draait al langer en combineert pakketten die kwaadaardige code uitvoeren tijdens installatie én pakketten die dat pas doen bij het importeren ervan, verspreid onder dezelfde dreigingsactor. Voor detectie raden onderzoekers aan te letten op node.exe-processen die dllhost.exe starten, of op onverwachte verbindingen vanuit Node.js-toepassingen naar coderepositories zoals GitHub.
Voor ontwikkelteams die met npm werken is dit een reden om lockfiles te doorzoeken op het pakket “imgdecode” en op andere pakketnamen die in verband zijn gebracht met de MALFEX-campagne. Is het pakket ergens in gebruik geweest, isoleer dan de betreffende Windows-machine voor onderzoek voordat credentials die op dat systeem zijn gebruikt, worden ververst.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Werkt uw team met npm-pakketten op Windows-ontwikkelmachines? Doorzoek lockfiles op het pakket 'imgdecode' en let bij detectie op node.exe-processen die dllhost.exe starten. Is het pakket ergens gebruikt, isoleer dan die machine voor onderzoek voordat u credentials ververst.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.