Kampania MALFEX to długotrwały atak na łańcuch dostaw oprogramowania, wymierzony w użytkowników systemu Windows. Nowo odkryty pakiet npm o nazwie imgdecode wykorzystuje skompilowany dodatek Node.js (DLL), aby ukryć złośliwy loader. Po wywołaniu funkcji require('imgdecode') w konsoli Windows, dodatek pobiera zaszyfrowany shellcode z GitHub, deszyfruje go i wstrzykuje do procesu dllhost.exe.
Atakujący wykazują się dużą determinacją, szybko publikując nowe pakiety (np. imgbundle, runhelper) w odpowiedzi na usuwanie złośliwych komponentów z rejestru npm. Wcześniejsze etapy kampanii obejmowały pakiety służące do instalacji trojana Overlord RAT oraz kradzieży danych (Node.js stealer). Mechanizmy te wykorzystywały m.in. pliki graficzne (JPG/PNG) do ukrywania zaszyfrowanych ładunków.
Złośliwe oprogramowanie przeprowadza zaawansowane testy antyanalityczne, sprawdzając obecność maszyn wirtualnych, piaskownic oraz narzędzi takich jak Wireshark czy Process Monitor. Po przełamaniu zabezpieczeń, malware kradnie dane z przeglądarek, komunikatorów (Discord, Telegram), portfeli kryptowalutowych oraz aplikacji gamingowych. Do utrzymania obecności w systemie wykorzystuje klucze rejestru oraz zaplanowane zadania.
Jeśli podejrzewasz zainfekowanie, należy natychmiast odizolować system, sprawdzić wpisy zapewniające trwałość (persistence), zmienić wszystkie poświadczenia oraz przenieść środki z portfeli kryptowalutowych, jeśli frazy seed były przechowywane na komputerze.
