セキュリティ企業 SafeDep は、npm パッケージ「imgdecode」が Windows 環境を狙うマルウェアのローダーだと報告しました。The Hacker News が 10 月 17 日に報じたものです。2026 年 9 月 30 日に公開され、報道時点で 979 回ダウンロードされ、なお npm から入手できる状態でした。Windows で Node.js を使い、画像処理系の小さなパッケージを導入している開発者は依存関係を確認する必要があります。

主なポイント

  • 9 行の JavaScript がコンパイル済みの Windows 用ネイティブアドオン (DLL) を読み込み、GitHub から暗号化されたシェルコードを取得・復号して dllhost.exe に注入します。
  • install フックを使わず、require('imgdecode') で読み込まれた時点で動作します。DLL は開発者のターミナルで実行されているかを確認します。
  • MALFEX は 2023 年 8 月から npm に悪性パッケージを公開し続けているキャンペーンで、公表や削除のたびに「runhelper」「imgbundle」などの代替パッケージを短期間で出しています。
  • 一連のパッケージは Overlord RAT や Node.js 製の情報窃取マルウェアを配布し、.env・.pem・.kdbx などのファイル、ブラウザや Discord・暗号資産ウォレットのデータを狙います。
  • 該当パッケージを導入した場合は、Windows 端末を侵害済みとみなして隔離し、永続化の痕跡を調べ、認証情報を変更するよう呼びかけています。

出典: MALFEX npm Package 'imgdecode' Hides Shellcode Loader in Windows Native Addon