--- title: "Złośliwy pakiet npm imgdecode ukrywał loader w dodatku Node.js dla Windows" description: "Badacze wykryli złośliwy pakiet npm imgdecode, który ukrywał loader w skompilowanym dodatku Node.js dla Windows. Pakiet jest częścią kampanii MALFEX, powiązanej z kradzieżą danych i zdalnym dostępem do systemów." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/zlosliwy-pakiet-npm-imgdecode-ukrywal-loader-w-dodatku-nodejs-dla-windows" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/zlosliwy-pakiet-npm-imgdecode-ukrywal-loader-w-dodatku-nodejs-dla-windows/index.md" date_published: "2026-10-17T21:36:38.666Z" date_modified: "2026-10-17T21:36:44.450Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "cyberbezpieczeństwo" - "npm" - "node.js" - "windows" - "łańcuch dostaw" source_url: "https://thehackernews.com/2026/10/malfex-npm-package-imgdecode-hides.html" source_name: "The Hacker News" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1792260075287.jpeg" image_alt: "Matrix movie still" image_credit: "© Markus Spiske / Unsplash" image_credit_url: "https://unsplash.com/@markusspiske" --- # Złośliwy pakiet npm imgdecode ukrywał loader w dodatku Node.js dla Windows > Złośliwy pakiet npm imgdecode ukrywał loader w natywnym dodatku Node.js. Kampania MALFEX może prowadzić do kradzieży danych z Windows. ## Kluczowe informacje - imgdecode zawierał złośliwą bibliotekę DLL dla Windows. - Pakiet mógł pobierać i uruchamiać zaszyfrowany ładunek. - Kampania MALFEX działa co najmniej od sierpnia 2023 roku. - Deweloperzy powinni odizolować potencjalnie zainfekowane systemy i zmienić dane uwierzytelniające. Badacze cyberbezpieczeństwa wykryli złośliwy pakiet npm imgdecode, powiązany z kampanią łańcucha dostaw oprogramowania MALFEX. Według analizy SafeDep pakiet ukrywał loader w skompilowanym dodatku Node.js przeznaczonym dla Windows. Został opublikowany 30 września 2026 roku przez użytkownika malfexteste8, a w chwili opisu miał 979 pobrań i nadal był dostępny w rejestrze npm. Najnowsza wskazana wersja to 1.0.3. ## Złośliwy kod ukryto poza plikiem JavaScript Sam pakiet zawierał niewielką warstwę JavaScript, która ładowała bibliotekę DLL. Po uruchomieniu aplikacji na Windows biblioteka próbowała pobrać z GitHuba zaszyfrowany ładunek, odszyfrować go i wstrzyknąć do nowego procesu dllhost.exe. Oznaczało to, że główne działanie złośliwego kodu znajdowało się w natywnym dodatku, a nie w łatwym do przejrzenia kodzie pakietu. Analiza wskazała również, że najnowsza wersja imgdecode nie wymagała już innego pakietu MALFEX, co utrudniało wykrywanie zagrożenia wyłącznie na podstawie listy zależności. - Pakiet imgdecode opublikowano 30 września 2026 roku. - W chwili analizy pakiet miał 979 pobrań i pozostawał dostępny w npm. - Loader korzystał ze skompilowanej biblioteki DLL dla Windows. - Wersja 1.0.3 działała bez dodatkowego pakietu z kampanii MALFEX. ## MALFEX działa od 2023 roku MALFEX to nazwa nadana długotrwałej kampanii, którą wcześniej opisywały Checkmarx i CloudSEK. Nieznany operator publikuje złośliwe pakiety npm co najmniej od 6 sierpnia 2023 roku, wykorzystując pięć kont wydawców. Spośród ośmiu zidentyfikowanych pakietów trzy pełniły funkcję loaderów dla trojana zdalnego dostępu Overlord RAT. Kolejne trzy współpracowały przy pobieraniu i uruchamianiu stealera napisanego dla Node.js. Osobna ścieżka infekcji korzystała z haka postinstall, który uruchamiał JavaScript kontaktujący się z zewnętrznym serwerem i pobierający kolejny plik binarny. ## Operator reagował na ujawnienia i usuwanie pakietów Z ustaleń badaczy wynika, że operator szybko zastępował usuwane lub publicznie opisane komponenty. W ciągu dwóch dni po ujawnieniu wcześniejszych pakietów pojawiły się ich zamienniki o nazwach runhelper i imgbundle. Tego samego dnia opublikowano pierwszą wersję imgdecode. W odróżnieniu od części wcześniejszego łańcucha, złośliwe działanie nie musiało być uruchamiane przez instalacyjny skrypt. Kod mógł wykonać się dopiero wtedy, gdy aplikacja załadowała konkretny moduł, co zwiększało szansę na przejście niezauważonym przez standardowe kontrole instalacji. W starszej wersji imgdecode biblioteka DLL korzystała z pliku przygotowanego przez inny komponent kampanii. Od wersji 1.0.1 sama pobierała i odszyfrowywała kolejny ładunek. SafeDep wskazał, że DLL sprawdzała środowisko uruchomieniowe, pobierała plik obrazu z repozytorium GitHub, a następnie przetwarzała ukryte w nim dane. Mechanizm zawierał także warunek pozwalający przerwać działanie po rozpoznaniu określonych sygnatur obrazu, co mogło utrudniać analizę. Choć konto wykorzystane do hostowania plików zostało wyłączone, badacze połączyli analizowany obraz z downloaderem napisanym w Go, używanym do dostarczania stealera Node.js i narzędzia zdalnego dostępu. Opisany ładunek prowadził kontrole antyanalityczne, sprawdzając między innymi obecność maszyn wirtualnych, piaskownic oraz narzędzi używanych do analizy ruchu i procesów. Według badaczy malware mogło wyszukiwać pliki zawierające frazy odzyskiwania oraz pliki z rozszerzeniami używanymi przy kluczach, certyfikatach i konfiguracji. Zbierane były także dane z przeglądarek opartych na Chromium, komunikatorów, portfeli kryptowalutowych i aplikacji gamingowych. Połączenie z serwerem C2 umożliwiało zdalne wykonywanie operacji na plikach, kontrolę procesów, dostęp do schowka i wykonywanie zrzutów ekranu. Mechanizmy utrzymania dostępu obejmowały wpis w rejestrze Windows oraz zaplanowane zadanie. - Deweloperzy, którzy instalowali wskazane pakiety na Windows, powinni traktować te systemy jako potencjalnie przejęte. - Zainfekowane urządzenia należy odłączyć od sieci i sprawdzić pod kątem nieznanych wpisów autostartu oraz zaplanowanych zadań. - Po analizie środowiska należy zmienić hasła, unieważnić tokeny i odtworzyć dane uwierzytelniające z bezpiecznego urządzenia. - Jeśli w zagrożonym środowisku przechowywano frazy odzyskiwania portfeli, środki powinny zostać przeniesione do nowego portfela. ## Wyjaśnienie pojęć ### [DLL](https://najnowsze-informacje.pl/definicje/dll) Biblioteka współdzielona używana przez system Windows i aplikacje do udostępniania kodu oraz funkcji. ## Źródło pierwotne [The Hacker News](https://thehackernews.com/2026/10/malfex-npm-package-imgdecode-hides.html) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-10-17T21:36:38.666Z - **Ostatnia aktualizacja:** 2026-10-17T21:36:44.450Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/zlosliwy-pakiet-npm-imgdecode-ukrywal-loader-w-dodatku-nodejs-dla-windows](https://najnowsze-informacje.pl/cyberbezpieczenstwo/zlosliwy-pakiet-npm-imgdecode-ukrywal-loader-w-dodatku-nodejs-dla-windows) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/zlosliwy-pakiet-npm-imgdecode-ukrywal-loader-w-dodatku-nodejs-dla-windows/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/zlosliwy-pakiet-npm-imgdecode-ukrywal-loader-w-dodatku-nodejs-dla-windows/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Złośliwy pakiet npm imgdecode ukrywał loader w dodatku Node.js dla Windows”, 2026-10-17, https://najnowsze-informacje.pl/cyberbezpieczenstwo/zlosliwy-pakiet-npm-imgdecode-ukrywal-loader-w-dodatku-nodejs-dla-windows