npm-Paket imgdecode: MALFEX versteckt Shellcode in Windows-Addon
Veröffentlicht am: 17.10.2026 um 15:53 Uhr | Redaktion boerse-global.de
Cybersecurity-Forscher haben eine bösartige Komponente im weit verbreiteten JavaScript-Ökosystem identifiziert. Wie Branchenberichte vom 17. Oktober 2026 darlegen, verbirgt das manipulierte npm-Paket namens „imgdecode“ einen komplexen Shellcode-Loader. Die Entdeckung wird einer gezielten Supply-Chain-Attack-Kampagne zugerechnet, die unter der Bezeichnung MALFEX agiert und auf die Kompromittierung von Software-Lieferketten abzielt.
Technische Verschleierung über Windows-Native-Addons
Die Vorgehensweise der Angreifer verdeutlicht eine gezielte Verschleierungstaktik. Das npm-Paket „imgdecode“ bettet den Shellcode-Loader in ein Windows-Native-Addon ein. Durch das Auslagern der schädlichen Routinen in kompilierte native Komponenten erschweren die Erkennung durch automatisierte Scanner, die primär auf die Überprüfung herkömmlicher JavaScript-Dateien ausgelegt sind.
Im weiteren Verlauf setzt das MALFEX-Paket auf eine mehrstufige Ausführung. Berichten vom 17. Oktober 2026 zufolge verwendet die Schadsoftware eine Windows-DLL, um eine externe Nutzlast von der Entwicklungsplattform GitHub abzurufen. Auf dem betroffenen System wird diese Payload anschließend entschlüsselt.
Angriffe auf Systemprozesse und komplexe Verschleierungstaktiken zeigen, wie verwundbar IT-Strukturen heute sind. Ein kostenloses E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt auf, wie Unternehmen ihre Sicherheit langfristig stärken können. IT-Sicherheit stärken und Cyberangriffe verhindern
Im letzten Schritt erfolgt die Injektion des Schadcodes in den legitimen Windows-Systemprozess dllhost.exe. Durch das Ausführen des Codes innerhalb eines regulären Systemprozesses versuchen die Angreifer, Sicherheitssoftware zu umgehen und forensische Nachforschungen zu erschweren.
Unvollständige Datenlage zu Ausmaß und Betroffenheit
Das gesamte Ausmaß des Angriffs ist derzeit noch nicht vollständig absehbar. In den zugrunde liegenden Berichten vom 17. Oktober 2026 sind bislang keine weiterführenden Details zur vollständigen Infektionskette, zu den konkreten Downloadzahlen oder zu den betroffenen Versionsnummern von „imgdecode“ enthalten. Es bleibt somit offen, wie viele Entwickler oder automatisierte Build-Systeme das Paket bereits heruntergeladen und in bestehende Projekte integriert haben.
Wer sich mit der Absicherung von IT-Infrastrukturen gegen moderne Bedrohungen befasst, muss proaktiv handeln, bevor kritische Sicherheitslücken entstehen. Erfahren Sie in diesem Experten-Report, welche rechtlichen Pflichten und technischen Risiken Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report jetzt herunterladen
Der Vorfall verdeutlicht erneut die anhaltenden Risiken innerhalb quelloffener Software-Repositories. Angriffe auf Paketmanager wie npm zielen darauf ab, Entwicklungs- und Produktivumgebungen über scheinbar unverdächtige Drittanbieter-Bibliotheken zu infiltrieren.
Da Abhängigkeiten in Softwareprojekten häufig verschachtelt geladen werden, empfehlen Sicherheitsexperten generell den Einsatz automatisierter Dependency-Scans sowie die strikte Überwachung von Prozessen wie dllhost.exe auf ungewöhnliche Netzwerk- oder Injektionsaktivitäten.
