Een nieuwe supply chain-casus laat zien hoe snel aanvallers misbruik kunnen maken van ogenschijnlijk onschuldige software. In de campagne MALFEX is een npm-pakket genaamd imgdecode gevonden dat een schadelijke loader verbergt in een Windows-native addon. Zodra een Node.js-programma het pakket laadt, kan de aanval verdergaan met het ophalen, decoderen en injecteren van payloads richting een proces als dllhost.exe.
Wat dit extra urgent maakt: de auteurs lijken gericht te reageren op openbare ontdekkingen en verwijderingen op npm door binnen korte tijd vervangende versies en alternatieven te publiceren. Daardoor kan een organisatie die “even wacht” alsnog worden geraakt zodra er een nieuwe variant beschikbaar komt.
Wat is MALFEX en waarom is het gevaarlijk?
MALFEX is de naam die onderzoekers geven aan een langdurige campagne die zich sinds 6 augustus 2023 richt op het publiceren van kwaadaardige pakketten in de npm-registry. Het doel ligt bij het compromitteren van Windows-systemen, waarbij het pad van de aanval niet via traditionele install-hooks loopt, maar via het moment waarop specifieke pakketten worden geladen of afhankelijkheden worden gebruikt.
In deze aanvalsketen bestaan meerdere npm-packages die samenwerken: sommige functies draaien als downloader, andere als decoder of “runner”, en weer andere ketenen door naar een volgende fase. Onderzoekers hebben daarbij meerdere publicatie-id’s (publisher-handles) geïdentificeerd waarmee de aanvaller de verspreiding heeft opgezet.
Hoe werkt het specifieke pakket imgdecode?
Het meest recent ontdekte onderdeel is imgdecode (laatste versie genoemd: 1.0.3). Dit pakket lijkt op het eerste gezicht klein: het JavaScript-bestand bestaat uit een tiental regels die vooral toewerken naar een gecompileerde Node.js addon (een native component).
Concreet gebeurt er het volgende wanneer je Node.js-toepassing require(‘imgdecode’) aanroept vanuit een Windows-console:
- De Windows-native component probeert een DLL te activeren.
- Die DLL maakt vervolgens een verbinding om geëncrypteerde shellcode op te halen van een externe bron op GitHub.
- Daarna wordt de respons gedecodeerd en geïnjecteerd in een nieuw proces, waaronder dllhost.exe.
Uit de analyse blijkt ook dat de DLL anti-analyse checks bevat. Denk aan controles op virtuele omgevingen, sandbox-tools en analyseprogramma’s zoals Process Monitor en Wireshark. Pas daarna volgt het verzamelen van data en het uitvoeren van de payload.
De aanvalsketen: van npm naar uitvoerbare payload
Naast imgdecode bestond de campagne uit meerdere packages die samen de “keten” vormen. Sommige pakketten werken als loader voor een RAT (remote access tool). Andere onderdelen downloaden en starten een Node.js stealer. Er was ook een pad via een postinstall hook dat buiten de basis-installatie om een volgende component kan ophalen.
In de beschreven keten valt op dat er in een deel van de pakketten geen install hook centraal staat. In plaats daarvan draait de schadelijke logica wanneer een “runner”-achtige component wordt geladen. In latere varianten schakelt de aanvaller vervolgens onderdelen in of uit en vervangt hij afhankelijkheden.
Een deel van de keten omvat bijvoorbeeld:
- Downloads van bestanden zoals PNG/JPG-afbeeldingen uit een GitHub repository, waar de versleutelde payload in is verstopt.
- Ontsleuteling met specifieke sleutels (in de analyse genoemd als onderdeel van de decodestappen).
- Het wegschrijven van een gedecodeerde Go-binaire naar een map onder %APPDATA%, waarna die binaire vervolgens verder laadt.
- Het ophalen van een volgende fase (bijvoorbeeld “movinlike”/setup.exe) vanaf een externe infrastructuur.
De verzameling van slachtofferdata is breed: er worden onder andere bestanden met bepaalde extensies en seed phrases genoemd, plus data uit Chromium-gebaseerde browsers, communicatie-apps, cryptocurrency wallets en games (zoals Steam, Epic Games, Riot en anderen). Ook kan een WebSocket-verbinding worden opgezet om commando’s uit te voeren, bestanden te verplaatsen en zelfs screenshots of clipboard-inhoud te hanteren.
Waarom reageren aanvallers zo snel op verwijderingen?
De tijdlijn rond imgdecode laat zien hoe snel de aanvaller bijstelt. Toen npm bepaalde pakketten verwijderde (bijvoorbeeld native-runner en img-to-native), kwamen er binnen dagen, soms binnen uren, nieuwe varianten terug in de vorm van vervangende packages zoals runhelper en imgbundle. Vervolgens werd imgdecode kort daarna gepubliceerd in meerdere versies.
Dit betekent voor verdedigers: “we wachten op updates” is geen strategie. Je moet actief inventariseren of je organisatie deze packages (of nauw verwante afhankelijkheden) inbouwt of uitvoert.
Wat je nu kunt doen als je een MALFEX-pakket vond
Wanneer ontwikkelaars één van de betrokken npm-pakketten hebben geïnstalleerd, is de aanbeveling om Windows-systemen als mogelijk gecompromitteerd te beschouwen. Hieronder staan praktische stappen die je meteen kunt opnemen in je incidentproces.
1) Isoleren en beperken
Haal verdachte machines uit het netwerksegment en stop met het uitvoeren van Node.js projecten waarin de pakketten voorkomen. Gebruik bij voorkeur een containment-strategie zodat vervolgcommunicatie via C2-adressen niet verder kan uitrollen.
2) Persistence en uitvoerbare sporen checken
Volgens de analyse kan de malware persistence creëren via een Registry Run-entry en een geplande taak die is genoemd als MicrosoftEdgeUpdateService. Controleer daarom gericht autoruns, scheduled tasks en eventuele ongebruikelijke uitvoerbare bestanden onder gebruikersmappen of systeem-specifieke locaties.
3) Status van credentials en wallets
Als er seed phrases of inloggegevens zijn blootgesteld, is het advies om sleutels/credentials te roteren en gestorte fondsen zo nodig over te zetten naar nieuwe wallets. Dit is belangrijk omdat een stealer juist gericht kan zijn op langdurige misbruikscenario’s.
4) Meld, documenteer en stuur naar je security team
Leg vast welke pakketversies zijn gebruikt, op welke datum ze zijn geïnstalleerd en welke machines ermee draaien. Dit helpt niet alleen bij herstel, maar ook bij het voorkomen van herhaling in CI/CD of developer workstations.
Wil je dit combineren met bredere inzichten over incidentrespons bij misleiding via softwareketens? Lees dan ook contextuele cybersecurity: van losse alerts naar actie voor het vertalen van signalen naar concrete vervolgstappen.
Supply chain incidenten voorkomen: waar let je op?
Malware via npm is niet nieuw, maar MALFEX laat wél zien hoe aanvallers de grens bewaken tussen “kijk mij onschuldig zijn” en “pas wanneer ik geladen word”. Om dit structureel te beperken, kun je maatregelen nemen rondom herkomst, uitvoer en afhankelijkheidsbeheer.
- Inventarisatie: check dependency trees en lockfiles op aanwezigheid van verdachte packages en verwante varianten.
- Build- en run-beheersing: beperk wie productie of interne omgevingen kan draaien met externe Node-dependencies.
- Reputatie en blocking: weeg risico’s af bij bekende kwaadaardige publishers en neem “deny-lists” op waar dat kan.
- Monitoring: let op ongebruikelijke child-processen, native addon-ladingen en netwerkverkeer richting cloud hosts of vreemde GitHub-repositories.
Hoewel dit artikel niet over “AitM phishing via valse event” gaat, is het wel dezelfde kernles: aanvallers combineren misleiding met een technische route om toegang te krijgen. Als je inzicht zoekt in een gerelateerde phishingstrategie, is AitM phishing via valse event — invites een nuttige aanvulling op je begrip van aanvalspatronen.
Conclusie
MALFEX toont hoe een ogenschijnlijk klein npm-pakket zoals imgdecode kan uitgroeien tot een Windows-aanval via native addons, decodestappen en uiteindelijk injectie in een proces. De snelle reactie op verwijderingen op npm maakt duidelijk dat je niet alleen moet reageren op wat nu bekend is, maar ook proactief moet controleren wat je software nu daadwerkelijk installeert en laadt.
Concreet: inventariseer, isoleer verdachte systemen, check persistence en rot/mitigeer credentials of wallets waar nodig. Zo beperk je de kans dat deze supply chain-dreiging doorwerkt naar bredere schade binnen je organisatie.
Bron: https://thehackernews.com/2026/10/malfex-npm-package-imgdecode-hides.html
