MALFEX npm Package 'imgdecode' Hides Shellcode Loader in Windows Native Addon
2026-10-17
La campaña MALFEX utiliza paquetes maliciosos en el registro npm para comprometer sistemas Windows. Uno de los componentes más recientes es el paquete 'imgdecode' (versión 1.0.3), el cual oculta un cargador de código malicioso dentro de un complemento nativo de Node.js para ejecutar ataques en el sistema.
Los ataques funcionan de diversas formas: algunos paquetes descargan el troyano de acceso remoto (RAT) Overlord, mientras que otros están diseñados para robar datos de navegadores, cuentas de Discord, Telegram y billeteras de criptomonedas. El malware puede capturar pantallas, registrar lo que usted escribe en el teclado y tomar el control del ratón y el teclado de forma remota.
Para evitar ser detectado, el código realiza comprobaciones para saber si se está ejecutando en un entorno de análisis o una máquina virtual. Además, busca archivos específicos con extensiones como .kdbx, .pem, .ppk y .env, que suelen contener contraseñas y claves de seguridad.
Se ha identificado que el atacante responde rápidamente a las eliminaciones de paquetes en npm publicando versiones nuevas o reemplazos bajo otros nombres, como 'runhelper' o 'imgbundle', lo que dificulta la limpieza completa de los sistemas afectados.
Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza desarrolladores que instalan librerías de Node.js (npm), pídales que revisen si han usado paquetes como 'imgdecode', 'cdn-img-fetch', 'img-to-native', 'native-runner' o 'runhelper'. Si sospecha de una infección, debe aislar los equipos de inmediato, cambiar todas las contraseñas de bancos y correos, y mover los fondos de billeteras digitales a nuevas direcciones, ya que el atacante puede ver todo lo que usted escribe.