Pesquisadores de segurança descobriram um pacote malicioso no npm, o repositório público de bibliotecas usado por programadores de JavaScript. Ele faz parte de uma campanha de ataque à cadeia de suprimentos de software batizada de MALFEX, que publica pacotes com código escondido desde agosto de 2023 para comprometer sistemas Windows.

O pacote se chama "imgdecode", foi publicado em 30 de setembro de 2026 por um usuário chamado "malfexteste8" e já foi baixado 979 vezes. Na prática, ele esconde um carregador de código dentro de um módulo nativo do Node.js: quando um programa chama o pacote no Windows, uma biblioteca DLL baixa do GitHub um conteúdo criptografado (o shellcode, uma sequência de instruções maliciosas) e o injeta em um processo do sistema chamado dllhost.exe. A comparação útil é a de uma caixa de encomenda que parece inofensiva, mas traz uma peça escondida dentro.

A campanha usa cinco perfis de publicação no npm e oito pacotes identificados. Três deles atuam como carregadores do Overlord RAT, um acesso remoto que dá controle do computador ao atacante, e outros três trabalham juntos para baixar e executar um stealer para Node.js, um programa que rouba informações. Segundo a fonte, quando os pacotes originais foram removidos pelo npm, o grupo publicou substitutos em poucos dias, como "runhelper" e "imgbundle".

O código malicioso coleta dados como frases de recuperação de carteiras de criptomoedas, arquivos com extensões como .kdbx, .pem, .ppk e .env, dados de navegadores baseados em Chromium, Discord, Telegram e contas de jogos. Antes disso, ele verifica se está rodando em máquina virtual ou em ferramentas de análise, como Wireshark. Ele também pode receber comandos remotos, capturar telas e controlar teclado e mouse, e se mantém ativo por meio de uma chave de registro e de uma tarefa agendada chamada "MicrosoftEdgeUpdateService".

Quem instalou qualquer um desses pacotes deve considerar o computador Windows possivelmente comprometido. A recomendação da fonte é isolar a máquina, verificar as entradas de persistência, trocar as credenciais e transferir fundos para novas carteiras caso frases de recuperação estivessem armazenadas nela. Como regra geral, instale bibliotecas apenas de fontes confiáveis e siga as orientações oficiais do npm e dos fabricantes.