В npm обнаружен вредоносный пакет imgdecode, скрывающий загрузчик shellcode в нативном Windows-аддоне
Исследователи в области кибербезопасности выявили вредоносный npm-пакет под названием imgdecode, который является частью недавно раскрытой кампании атак на цепочку поставок программного обеспечения MALFEX. Пакет, загруженный 30 сентября 2026 года пользователем «malfexteste8», к моменту публикации скачали 979 раз, и он по-прежнему доступен в реестре npm. Вредоносный код скрыт в нативном Windows-аддоне и служит загрузчиком shellcode.
Подробности
Пакет под названием «imgdecode» был загружен в реестр npm 30 сентября 2026 года пользователем с ником «malfexteste8». К моменту написания статьи его скачали 979 раз, и на момент публикации он всё ещё оставался доступен в npm. Пакет связан с кампанией MALFEX, о которой стало известно незадолго до этого. Ключевая особенность вредоносного пакета — способ сокрытия полезной нагрузки. Загрузчик shellcode размещён внутри нативного Windows-аддона, то есть скомпилированного модуля, а не в привычном для проверок JavaScript-коде. Такой подход усложняет обнаружение: статический анализ JS-файлов пакета не выявляет вредоносной логики, поскольку она реализована в бинарном компоненте. Нативные аддоны в npm применяются для задач, требующих взаимодействия с операционной системой, и злоумышленники используют этот механизм для доставки и запуска shellcode в Windows-среде. Точные версии затронутого пакета, помимо упомянутой последней версии, в исходном сообщении не раскрываются; сведения о присвоенных идентификаторах CVE также не приводятся.Что делать
Разработчикам и организациям, использующим npm, рекомендуется проверить зависимости проектов на наличие пакета «imgdecode» и, при его обнаружении, удалить пакет и провести проверку систем на признаки компрометации. Следует проявлять осторожность при подключении новых или малопопулярных пакетов, особенно содержащих нативные аддоны с бинарными компонентами, и по возможности применять инструменты анализа зависимостей и контроля целостности пакетов. Также целесообразно отслеживать обновления со стороны npm и исследовательского сообщества по кампании MALFEX. Инцидент с imgdecode подтверждает, что атаки на цепочку поставок через открытые реестры пакетов остаются актуальной и трудно обнаруживаемой угрозой, требующей повышенного внимания к составу зависимостей и происхождению сторонних компонентов.Источник: The Hacker News