MALFEX : le paquet npm imgdecode cache un chargeur sous Windows

Le paquet npm imgdecode, mis en ligne le 30 septembre 2026 et téléchargé 979 fois, cache un chargeur de code malveillant pour Windows rattaché à la campagne MALFEX, d'après l'analyse de SafeDep relayée par The Hacker News le 17 octobre 2026. Le paquet restait disponible sur npm à ce moment-là.

Comment fonctionne imgdecode ?

Le paquet tient en un fichier JavaScript de neuf lignes qui charge une DLL Windows, un addon natif de Node.js. Quand un programme appelle require('imgdecode') depuis une console Windows, la DLL vérifie qu'elle s'exécute dans un terminal de développeur, puis télécharge depuis GitHub un shellcode chiffré, le déchiffre et l'injecte dans un nouveau processus dllhost.exe.

Détail relevé par SafeDep : si le contenu déchiffré commence par les octets d'une image JPEG ou PNG, la DLL s'arrête. SafeDep en déduit que l'opérateur peut désactiver le chargeur en servant un contenu qui se déchiffre en image. C'est une déduction des chercheurs, pas un fait observé.

Qu'est-ce que la campagne MALFEX ?

Les paquets de cette campagne visent Windows et sont publiés depuis le 6 août 2023, sous cinq identifiants d'éditeur au moins ; imgdecode a été envoyé par « malfexteste8 ». Checkmarx et CloudSEK avaient d'abord documenté la campagne. Huit paquets ont été identifiés au total, dont trois servent de chargeurs pour un cheval de Troie d'accès à distance.

La chronologie montre un jeu du chat et de la souris avec le registre : npm a retiré native-runner et img-to-native le 28 septembre, imgbundle le 7 octobre et cdn-img-fetch le 8 octobre, tandis que les versions d'imgdecode se succédaient jusqu'à la 1.0.3 du 11 octobre, qui n'a plus besoin du paquet imgbundle.

Que vole le logiciel malveillant ?

La chaîne de voleur associée s'installe dans %APPDATA%\Microsoft\Windows, persiste via une clé de registre Run et une tâche planifiée nommée « MicrosoftEdgeUpdateService », puis vérifie la présence de machines virtuelles et d'outils comme Process Monitor ou Wireshark. Elle cible les phrases de récupération de portefeuilles, les fichiers .kdbx, .pem, .ppk et .env, les données des navigateurs Chromium, Discord, Telegram, des portefeuilles de cryptomonnaies et des plateformes de jeu.

Le serveur de commande, qui communique par WebSocket, permet d'exécuter des commandes, de transférer des fichiers, de capturer l'écran et de contrôler clavier et souris.

Que faire si vous avez installé l'un de ces paquets ?

SafeDep recommande de traiter tout système ayant installé l'un des paquets cités comme potentiellement compromis : l'isoler, vérifier la clé de registre Run et la tâche planifiée, changer les identifiants et déplacer les fonds vers de nouveaux portefeuilles si des phrases de récupération étaient présentes. Les indicateurs techniques (adresse du serveur 104.234.65[.]75, port 7007, dépôt GitHub « cavecrew/proj ») figurent dans l'analyse originale.

Le chiffre de 979 téléchargements est un compteur npm, qui inclut possiblement des robots d'analyse : il ne mesure pas le nombre de machines réellement infectées.

Source

• The Hacker News — MALFEX npm Package 'imgdecode' Hides Shellcode Loader in Windows Native Addon