El paquete «imgdecode» de MALFEX en npm oculta un cargador de código shell en un complemento nativo de Windows

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han de­tec­ta­do un pa­que­te npm ma­li­cio­so de­no­mi­na­do "img­de­co­de", el cual forma parte de una cam­pa­ña de ata­ques a la ca­de­na de su­mi­nis­tro de soft­wa­re co­no­ci­da como MALFEX. Este com­po­nen­te ocul­ta un car­ga­dor ma­li­cio­so den­tro de un com­ple­men­to com­pi­la­do para Node.js y se eje­cu­ta en sis­te­mas Win­dows cuan­do se in­vo­ca desde una con­so­la, mo­men­to en el cual des­car­ga có­di­go ci­fra­do desde un re­po­si­to­rio ex­terno para pos­te­rior­men­te in­yec­tar­lo en un pro­ce­so del sis­te­ma.

La cam­pa­ña MALFEX ha es­ta­do ac­ti­va me­dian­te la pu­bli­ca­ción de di­ver­sos pa­que­tes orien­ta­dos a com­pro­me­ter equi­pos Win­dows, uti­li­zan­do múl­ti­ples cuen­tas de usua­rio y va­ria­das vías de in­fec­ción. Mien­tras al­gu­nos ele­men­tos ac­túan como tro­ya­nos de ac­ce­so re­mo­to o des­car­gan ex­trac­to­res de in­for­ma­ción, los ope­ra­do­res res­pon­den rá­pi­da­men­te a la eli­mi­na­ción de sus he­rra­mien­tas crean­do nue­vas ver­sio­nes y re­em­pla­zos fun­cio­na­les de ma­ne­ra cons­tan­te.

El fun­cio­na­mien­to téc­ni­co de los pa­que­tes in­vo­lu­cra­dos in­clu­ye la des­car­ga de ar­chi­vos mul­ti­me­dia con datos ci­fra­dos, des­ci­fra­do me­dian­te cla­ves es­pe­cí­fi­cas, eje­cu­ción de bi­na­rios y el uso de com­ple­men­tos para car­gar có­di­go en me­mo­ria. Ade­más, estas ame­na­zas in­cor­po­ran me­ca­nis­mos para eva­dir aná­li­sis de­tec­tan­do en­tor­nos vir­tua­les o he­rra­mien­tas de mo­ni­to­reo, re­co­lec­tan in­for­ma­ción sen­si­ble como cre­den­cia­les y datos de apli­ca­cio­nes, y es­ta­ble­cen per­sis­ten­cia en el sis­te­ma afec­ta­do.