חוקרי SafeDep זיהו חבילת npm בשם imgdecode שמסתירה טוען נוזקה בתוך תוסף מקורי (native addon) של Windows. החבילה שייכת לקמפיין MALFEX, שלפי הדיווח מפרסם חבילות זדוניות ל-npm מאז אוגוסט 2023.
הפרטים
קובץ ה-JavaScript של החבילה קצר מאוד ורק טוען קובץ DLL. כשתוכנת Node.js קוראת ל-require('imgdecode') בקונסולת Windows, ה-DLL מוריד מ-GitHub shellcode מוצפן, מפענח אותו ומזריק לתהליך חדש של dllhost.exe.
פורסמו ארבע גרסאות בין 30 בספטמבר ל-11 באוקטובר 2026. בגרסאות המוקדמות הטעינה נשענה על חבילה נלווית; בגרסה 1.0.3 התלות הוסרה והחבילה פועלת לבדה. בזמן הכתבה נרשמו כ-979 הורדות והחבילה עדיין הייתה זמינה. לפי הדיווח, המפעיל מחליף חבילות שהוסרו בחבילות חדשות, ובקמפיין זוהו שמונה חבילות מחמישה מפרסמים, עם מטענים שונים כמו טוען ל-Overlord RAT וגנב מידע.
נקודות לשים לב
- חפש בקובצי
package.jsonו-package-lock.jsonאתimgdecodeואת שאר חבילות הקמפיין שמפורטות במחקר של SafeDep. - מכונת Windows שהותקנה עליה החבילה נחשבת חשודה: בודד אותה מהרשת ובדוק מנגנוני התמדה, כמו מפתחות הפעלה ב-Registry ומשימות מתוזמנות.
- החלף אישורים שהיו זמינים במכונה, ואם נשמרו שם ביטויי שחזור של ארנקי קריפטו — העבר את הכספים לארנק חדש.
- הקמפיין מחליף חבילות שהוסרו, ולכן הסרת חבילה אחת אינה סוף הסיפור: שקול נעילת תלויות ובדיקת חבילות חדשות לפני התקנה.
מקורות: The Hacker News · SafeDep
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
