MALFEX imgdecode npm Paketi: Yerel Windows Yükleyicisi

SafeDep'in imgdecode incelemesi, zararlı yükleyici davranışını görünür JavaScript'ten derlenmiş Windows yerel eklentisine taşıyan ve MALFEX kampanyasıyla ilişkilendirilen bir npm paketini anlatıyor. Paket kendini görsel çözümleme aracı olarak tanıtıyordu. Küçük JavaScript giriş dosyası bir .node ikili dosyası yüklüyordu; asıl risk paket adı veya README'de değil, yerel modüldeydi.

SafeDep, malfexteste8 npm hesabı tarafından yayımlanan 1.0.0 ile 1.0.3 arasındaki sürümleri inceledi. 1.0.1 ve sonrasında modülün içe aktarılması, yerel eklenti başlatılırken yükleyiciyi tetikleyebiliyordu. İncelenen davranış etkileşimli Windows konsolu koşuluna bağlıydı. SafeDep'e göre modül GitHub'dan şifrelenmiş bir dosya almaya ve çözülen içeriği dllhost.exe sürecine enjekte etmeye çalışıyordu. Olay müdahalesinde kullanılabilecek göstergeler araştırmacı raporunda bulunuyor; payload URL'sini, şifreleme malzemesini ve çalıştırma tarifini burada tekrarlamıyoruz.

SafeDep, ortak staging ve ilişkili kurtarılan dosyalar üzerinden paketi daha geniş MALFEX kampanyasıyla bağladı. Ancak imgdecode tarafından istenen özel banner.jpg dosyasını kurtaramadı. Bu nedenle tam olarak bu yükleyicinin ilişkili zincirdeki stealer/RAT payload'ının aynısını taşıdığını doğrulayamadı. Ortak altyapı anlamlı kanıttır; her dalın aynı payload'ı sunduğunu tek başına kanıtlamaz.

Olağan bağımlılık incelemesi bunu neden kaçırabilir?

• Paket adı ve README davranışı göstermez. İncelenen 1.0.3 sürümünde belgelenen exec() API'si, gerçekte dışa aktarılan işlevle uyuşmuyordu.
• Yükleme anı kontrolleri yeterli değildir. Yerel eklenti, uygulama daha sonra modülü içe aktarırken kod çalıştırmak için geleneksel post-install hook'a ihtiyaç duymuyordu.
• Yerel ikili kaynak farkında şeffaf değildir. İnceleyen kişi kısa bir JavaScript sarmalayıcı görürken derlenmiş dosya ağ ve süreç işlemleri yapabilir.
• Çalışma koşulu tespiti etkiler. Bildirilen davranış Windows ve etkileşimli konsola bağlıydı; çıktısı yönlendirilmiş sıradan bir CI çalıştırması bunu tetiklemeyebilir.
• Bağımlılığı kaldırmak çalışmış payload'ı temizlemez. Lockfile değişikliği sonraki çözümlemeleri engelleyebilir; iş istasyonunun daha önce modülü yükleyip yüklemediğini göstermez.

SafeDep, 18 Ekim 2026'da gözden geçirilen imgdecode npm registry kaydında en son yayımlanan sürümü 1.0.3 olarak gördü. Registry durumu hızla değişebilir. Müdahale sırasında paketin hâlâ bulunduğunu veya kaldırıldığını varsaymayın; güncel kaydı ve kurum lockfile'larını kontrol edin.

Paket bağımlılık ağacınızdaysa müdahale

1. Kurulum yapmadan doğrudan ve dolaylı referansları bulun. package.json, lockfile, workspace tanımı, SBOM, build artifact'ı, paket cache'i ve bağımlılık envanterinde imgdecode ile incelenen sürümleri arayın. İlk lockfile ve paket metadata'sını koruyun.
2. Modülün yüklenip yüklenmediğini araştırın. Paket varlığını Node.js süreç geçmişi, modül çözümleme veya uygulama logları, uç nokta telemetrisi, etkileşimli Windows oturumları ve etkilenen build zamanıyla karşılaştırın. Lockfile'da bulunması araştırılması gereken maruziyettir, çalıştırıldığına dair kanıt değildir.
3. Çalıştığı sistemleri izole edip inceleyin. SafeDep, paketi yükleyen Windows iş istasyonlarının potansiyel olarak ele geçirilmiş sayılmasını öneriyor. Yeniden kurulumdan önce uç nokta kanıtını saklayın; alt süreçleri, beklenmeyen dllhost.exe etkinliğini, ağ bağlantılarını, kalıcılığı ve kimlik bilgisi erişimini araştırın.
4. Kimlik bilgilerini temiz bir ortamdan değiştirin. Etkilenen makinede bulunmuş olabilecek npm yayın token'larını, kaynak kod deposu kimlik bilgilerini, bulut sırlarını ve geliştirici/CI kimlik bilgilerini önceliklendirin. Prosedüre göre aktif oturum ve token'ları iptal edin.
5. Bağımlılığı incelenmiş bir değişiklikle kaldırın. Temiz ortamdan bilinen güvenilir lockfile ve artifact'larla yeniden derleyin. node_modules klasörünü silmeyi veya dolaylı paketi güncellemeyi uç noktanın temiz olduğunun kanıtı saymayın.
6. Paket kabul sürecini güçlendirin. Yeni bağımlılıkları sabitleyip inceleyin, SBOM üretin, yayıncı ve paket değişikliklerini izleyin, install/build ağ çıkışını kısıtlayın, yerel eklentileri gözden geçirin ve beklenmeyen alt süreç/ağ erişimi için çalışma zamanı kontrolleri ekleyin.

Kanıt sınırları

Bu, SafeDep'in 13 Ekim 2026 analizine ve 18 Ekim'de incelenen npm registry metadata'sına dayalı tarihli bir araştırma görünümüdür. Olay müdahalesinde paket durumunu ve araştırmacının güncel göstergelerini yeniden kontrol edin.

Bağımlılıktan çalıştırmaya kadar izi sürün

Paket incelemesi çoğu kez lockfile'da durur. Bu yalnızca zincirin ilk noktasıdır. imgdecode için önemli soru, build veya uygulamanın paketi bildirilen Windows konsolu koşulunda gerçekten yükleyip yüklemediğidir.

Paketi bir geliştirici iş istasyonunda içe aktararak test etmeyin. Artifact'ı açmak gerekiyorsa üretim kimlik bilgisi içermeyen, ağ çıkışı kısıtlanmış, snapshot alınabilen ve temiz kurtarma yolu bulunan yalıtılmış ortam kullanın. JavaScript sarmalayıcıyı ve yerel ikili dosyayı ayrı artifact'lar olarak inceleyin. Yalnızca kaynak kod farkına bakmak .node dosyasına derlenmiş davranışı göstermeyebilir.

Yalnızca install hook'larına güvenmeden npm kabulünü güçlendirin

Paketleri build ortamına almadan önce inceleyin. Bildirilen API ile gerçek export'ları karşılaştırın, yerel eklentileri ve platform koşullarını gözden geçirin, paket bütünlüğü ve yayıncı değişikliklerini kaydedin, ikili bağımlılık eklemek için gerekçe isteyin. Build worker'larına yalnızca görev için gereken sırları ve ağ erişimini verin. Çalışma zamanı izlemesi beklenen Node.js süreç ağacını beklenmeyen alt süreç ve ağ hedeflerinden ayırmalıdır.

Paket itibarı ve zafiyet tarayıcıları inceleme önceliğini belirlemeye yardım edebilir; temiz sonuç paketin zararsız olduğunu kanıtlamaz. Provenance, artifact incelemesi, bağımlılık onayı, kısıtlı build çalıştırması ve kullanım sonrası host kanıtı birlikte değerlendirilmelidir.

imgdecode npm paketi hakkında

Lockfile'da imgdecode bulunması uç noktanın ele geçirildiğini kanıtlar mı? Hayır. İncelenmesi gereken bağımlılığı gösterir. Kurulup kurulmadığını, bildirilen koşullarda içe aktarılıp aktarılmadığını ve ardından şüpheli etkinlik oluşup oluşmadığını belirleyin.

npm install script'lerini kapatmak bu davranışı engeller miydi? Bildirilen tetikleyici uygulama modülü istediğinde yerel eklentinin yüklenmesiydi; yalnızca geleneksel kurulum hook'ı değildi. Install script'lerinin yanında çalışma zamanı import'larını ve yerel bağımlılıkları da inceleyin.

İlgili okuma: Axios npm tedarik zinciri saldırısı analizi.