Pesquisadores de segurança digital identificaram um pacote malicioso hospedado no registro npm, que faz parte de uma campanha de ataque à cadeia de suprimentos de software denominada MALFEX. O pacote, batizado como "imgdecode", foi inserido no repositório em 30 de setembro de 2026 por um usuário identificado como "malfexteste8". Até o momento da redação desta matéria, o pacote havia sido obtido por 979 usuários e continuava disponível no registry npm.
A ameaça descoberta esconde um carregador de shellcode dentro de um complemento nativo desenvolvido para o sistema operacional Windows. O mecanismo de ataque permite a execução de código arbitrário no computador da vítima, representando um risco significativo para organizações e desenvolvedores individuais que utilizam bibliotecas de terceiros em seus projetos.
Especialistas em segurança recomendam que desenvolvedores veiculem em seus projetos apenas pacotes npm cujas procedências sejam completamente verificáveis. A remoção do pacote "imgdecode" do registry ainda não foi confirmada, e as autoridades de segurança cibernética seguem monitorando a situação para identificar eventuais outras bibliotecas comprometidas pela mesma campanha.
Este incidente evidencia mais uma vez a vulnerabilidade das cadeias de suprimentos de software, onde atacantes exploram a confiança que a comunidade de desenvolvedores deposita em bibliotecas amplamente disponíveis. Campanhas como a MALFEX demonstram a sofisticação crescente dos métodos empregados por grupos hostis para infiltrar código malicioso em projetos legítimos.
Fonte: The Hacker News
