Kötü amaçlı npm paketi Windows DLL’iyle kabuk kodu enjekte ediyor

MALFEX kampanyasıyla ilişkilendirilen kötü amaçlı npm paketi imgdecode, derlenmiş bir Windows DLL’i aracılığıyla GitHub’dan şifreli kabuk kodu indirip dllhost.exe sürecine enjekte ediyor. Dokuz satırlık JavaScript dosyası, Windows ortamında require('imgdecode') çağrıldığında yerel eklentiyi yükleyerek bu süreci başlatıyor. Paket, haberin hazırlandığı sırada npm üzerinde erişilebiliyor ve 979 kez indirilmişti; son sürüm 1.0.3 olarak listeleniyordu.

SafeDep’in aktardığı teknik analize göre 64-bit MSVC DLL’i önce geliştirici terminalinde çalışıp çalışmadığını kontrol ediyor, ardından cavecrew/proj GitHub deposundaki banner.jpg dosyasını indiriyor. Dosyaya gömülü yük, “nif-runtime-2027” anahtarıyla çözüldükten sonra çıktının ilk baytları kontrol ediliyor ve sonuç yeni bir dllhost.exe sürecine enjekte ediliyor. Sürüm 1.0.0, imgbundle tarafından oluşturulan bir dosyayı beklerken 1.0.1 ve sonraki sürümlerde yükün indirilip çözülmesi DLL içine taşındı; 1.0.3 ise başka bir MALFEX paketine olan bağımlılığı kaldırdı.

İlk olarak Checkmarx ve CloudSEK tarafından belgelenen MALFEX, Windows sistemlerini hedeflediği belirtilen ve 6 Ağustos 2023’ten bu yana npm üzerinde kötü amaçlı paketler yayımlayan bir kampanya olarak tanımlanıyor. Operatörün, önceki paketlerin npm’den kaldırılmasının ardından yeni adlarla alternatifler yayımladığı aktarılıyor. imgdecode örneği, masum görünen npm paketlerinin yerel native addon’lar üzerinden uzaktan yük çalıştırabilmesi nedeniyle geliştirici bağımlılıklarının ve paket yöneticisi altyapısının tedarik zinciri riski taşıdığını gösteriyor.