У публічному репозиторії npm виявлено шкідливий пакет “imgdecode”, який поширюється в рамках кампанії MALFEX для компрометації розробників на Windows. Модуль маскується під утиліту для обробки зображень, проте містить приховану бібліотеку DLL.

Під час виклику функції з консолі Windows програма завантажує зашифрований файл з GitHub, дешифрує його за допомогою ключа nif-runtime-2027 та виконує ін’єкцію шелкоду у системний процес dllhost.exe. Подальше навантаження викрадає криптовалютні гаманці, дані браузерів і створює бекдори.