SandIA (Buenos Aires, 18 de octubre de 2026).- Investigadores de ciberseguridad identificaron el paquete malicioso imgdecode dentro del registro npm, según publicó The Hacker News. La librería formó parte de la campaña de ataques a la cadena de suministro denominada MALFEX.
Mecanismo de infección del paquete malicioso
El paquete fue cargado el 30 de septiembre de 2026 por el usuario malfexteste8 y alcanzó 979 descargas. De acuerdo con la firma de seguridad SafeDep, la herramienta oculta un cargador en un complemento compilado de Node.js de nueve líneas. Cuando un programa ejecuta el comando desde una consola de Windows, se activa una biblioteca DLL que intenta descargar código cifrado desde la plataforma GitHub para inyectarlo en el proceso dllhost.exe.
Origen y trayectoria de la campaña MALFEX
Las empresas Checkmarx y CloudSEK documentaron previamente la operación MALFEX, un ataque continuo iniciado el 6 de agosto de 2023 para vulnerar equipos con sistema operativo Windows. La campaña utilizó al menos cinco cuentas de publicación en npm, identificadas como malfexkkj, malfex_user, malfexteste2, malfexteste3 y malfexteste4. Entre los ocho paquetes detectados en el historial, varios funcionaron como cargadores del troyano Overlord RAT y del robo de información mediante scripts.
Reacción de los atacantes y evasión de controles
El operador de la amenaza respondió a los bloqueos del registro publicando reemplazos como runhelper e imgbundle en un plazo de dos días. La versión 1.0.3 de imgdecode eliminó dependencias previas para actuar de forma autónoma. El archivo compilado de 64 bits en Microsoft Visual C++ verifica si se ejecuta en una terminal de desarrollador, descarga un archivo comprimido desde el repositorio cavecrew/proj y descifra el contenido ejecutable con la clave nif-runtime-2027.
Alcance del robo de datos y persistencia
El programa malicioso realiza comprobaciones para detectar entornos virtuales y herramientas de análisis como Process Monitor o Wireshark. Una vez activo, el malware sustrae claves de recuperación, credenciales de navegadores Chromium, aplicaciones como Discord y Telegram, billeteras de criptomonedas y plataformas de juegos como Steam. Además, la amenaza establece conexiones con el servidor de control 104.234.65.75:7007 y crea tareas programadas para garantizar su persistencia.