Pacote npm malicioso imgdecode esconde carregador de shellcode em addon nativo do Windows

Um pacote npm malicioso chamado imgdecode está escondendo um carregador de shellcode dentro de um addon nativo compilado para Windows, transformando uma simples chamada require em uma via de entrega de payloads remotos. Pesquisadores ligam o pacote à campanha de cadeia de suprimentos MALFEX, que publica código malicioso no npm desde 2023.

O carregador baixa shellcode criptografado do GitHub, descriptografa o conteúdo e injeta o resultado em um novo processo dllhost.exe. O operador vem substituindo pacotes removidos em poucos dias, publicando runhelper, imgbundle e imgdecode conforme as remoções aconteciam. O pacote teve centenas de downloads e seguia disponível no momento da reportagem.

O caso é um alerta direto sobre addons nativos e cadeias de dependências. Desenvolvedores devem auditar pacotes, revisar lockfiles, monitorar módulos nativos inesperados e tratar o comportamento em tempo de instalação e execução como parte da superfície de ataque.