كشف باحثو الأمن السيبراني عن حزمة خبيثة جديدة ضمن مستودع npm تحمل اسم imgdecode، في أحدث حلقات حملة برمجية واسعة النطاق تُعرف باسم MALFEX، والتي تستهدف مطوري Node.js ومستخدمي أنظمة ويندوز عبر تقنيات متقدمة تجمع بين هجمات سلسلة التوريد البرمجية وإخفاء البرمجيات الخبيثة داخل إضافات أصلية للنظام.
وتبرز الحملة باعتبارها مثالًا متطورًا على الأساليب التي باتت تستخدمها مجموعات التهديد لاستهداف بيئات التطوير الحديثة، حيث يتم إخفاء الوظائف الخبيثة داخل حزم تبدو في ظاهرها أدوات مساعدة للمطورين، بينما تعمل في الخلفية على تنزيل برمجيات تجسس وأدوات وصول عن بُعد قادرة على سرقة البيانات والسيطرة الكاملة على الأجهزة المصابة.
حملة MALFEX تواصل التطور رغم إزالة الحزم الخبيثة
بحسب شركة الأمن البرمجي SafeDep، فإن الحزمة المسماة imgdecode أُضيفت إلى مستودع npm في 30 سبتمبر 2026 بواسطة مستخدم يحمل اسم “malfexteste8″، وسُجل تنزيلها ما يقرب من ألف مرة حتى تاريخ الكشف عنها.
وتبين أن الحزمة لا تحتوي على تعليمات JavaScript معقدة، إذ يتكون ملفها الرئيسي من بضعة أسطر فقط. إلا أن هذه البساطة تخفي وراءها وظيفة أخطر بكثير، حيث تعمل الشيفرة على تحميل مكتبة DLL مخصصة لأنظمة ويندوز، ثم تشغيلها عند استدعاء الحزمة داخل مشروع Node.js.
وعند التنفيذ، تحاول المكتبة تنزيل حمولة مشفرة من منصة GitHub، ومن ثم فك تشفيرها وحقنها داخل عملية نظام شرعية تسمى dllhost.exe بغرض تشغيل البرمجية الخبيثة دون إثارة الشكوك.
وتعد هذه الحزمة أحدث امتداد لحملة MALFEX التي تعود بداياتها إلى أغسطس 2023، عندما بدأ فاعل تهديد مجهول بنشر حزم خبيثة متعددة داخل npm باستخدام حسابات مختلفة بهدف إصابة أجهزة ويندوز.
كيف تعمل سلسلة العدوى الخبيثة؟
أظهرت التحقيقات السابقة أن الحملة استخدمت عدة مسارات مختلفة للإصابة.
في بعض الحالات كانت الحزم تعمل كمحملات لبرمجية التحكم عن بعد Overlord RAT، بينما استخدمت حزم أخرى لتنزيل وتشغيل برامج سرقة بيانات تستهدف مطوري Node.js.
وتتألف إحدى سلاسل العدوى التي وثقها الباحثون من ثلاث حزم مترابطة:
الحزمة الأولى cdn-img-fetch تتولى تنزيل ملف صورة من مستودع GitHub يتحكم به المهاجم.
ثم تتولى الحزمة الثانية img-to-native استخراج البيانات المشفرة من الصورة وفك تشفيرها باستخدام مفتاح محدد مسبقًا، قبل حفظها على هيئة ملف تنفيذي داخل الجهاز.
أما الحزمة الثالثة native-runner فتعمل على تشغيل الملف الناتج، والذي بدوره يجلب المراحل التالية من الهجوم من خادم خارجي.
ويعمد المهاجمون إلى إخفاء البرمجيات الخبيثة داخل صور JPG أو PNG من أجل تجاوز أدوات الفحص التقليدية وإظهار النشاط على أنه تنزيل لملفات وسائط عادية.
من runhelper إلى imgdecode
تشير البيانات الزمنية للحملة إلى أن منفذيها كانوا يراقبون عمليات إزالة الحزم من npm بصورة مستمرة.
فعندما حذفت منصة npm بعض الحزم الخبيثة الأساسية في 28 سبتمبر 2026، قام المهاجم خلال أقل من يومين بنشر بدائل جديدة تحمل أسماء مختلفة مثل runhelper وimgbundle.
وعندما تعرضت تلك الحزم أيضًا للإزالة، انتقل المهاجم إلى مرحلة أكثر تطورًا عبر نشر imgdecode.
وفي الإصدار الأول من الحزمة الجديدة كانت الوظيفة الخبيثة تعتمد على حزم أخرى ضمن المنظومة نفسها، لكن الإصدارات اللاحقة أصبحت أكثر استقلالية، حتى وصل الإصدار 1.0.3 إلى مرحلة لم يعد بحاجة فيها إلى أي حزمة MALFEX إضافية لإتمام عملية العدوى.
ويعكس هذا التطور قدرة القائمين على الحملة على التكيف السريع مع إجراءات الحماية التي تتخذها المجتمعات البرمجية ومشغلو مستودعات الحزم.
برمجية قادرة على السرقة والتجسس والسيطرة الكاملة
كشفت التحليلات أن البرمجيات النهائية التي يجري تنزيلها تتجاوز كونها أدوات سرقة بيانات تقليدية.
فالحمولة الخبيثة تتضمن آليات متقدمة لمكافحة التحليل والكشف، حيث تقوم أولًا بالبحث عن البيئات الافتراضية وأدوات الهندسة العكسية وبرامج المراقبة الأمنية مثل Wireshark وProcess Monitor.
وبمجرد التأكد من عدم وجود بيئة تحليل، تبدأ البرمجية بالبحث عن البيانات عالية القيمة، ومن بينها:
- عبارات استعادة المحافظ المشفرة.
- ملفات كلمات المرور المشفرة.
- المفاتيح الخاصة والشهادات الرقمية.
- ملفات البيئة (.env).
- بيانات متصفحات Chromium.
- حسابات Discord وTelegram.
- محافظ العملات الرقمية.
- بيانات منصات الألعاب الشهيرة مثل Steam وEpic Games وRiot وBattle.net وUbisoft وMinecraft.
كما تستطيع البرمجية إنشاء اتصال دائم مع خادم القيادة والتحكم عبر WebSocket، مما يتيح للمهاجم تنفيذ أوامر عن بعد والسيطرة على الملفات والعمليات الجارية داخل الجهاز.
وتشمل القدرات الإضافية تنفيذ أوامر النظام ونقل الملفات والتقاط لقطات الشاشة والوصول إلى الحافظة الرقمية والتحكم بالفأرة ولوحة المفاتيح.
آليات التخفي والاستمرارية داخل النظام
لضمان بقائها بعد إعادة تشغيل الجهاز، تعتمد البرمجية على عدة وسائل استمرارية.
فهي تنشئ مفتاح تشغيل تلقائي داخل سجل ويندوز، كما تضيف مهمة مجدولة باسم يبدو شرعيًا هو MicrosoftEdgeUpdateService، ما يصعب ملاحظتها ضمن عشرات المهام النظامية الاعتيادية.
كما أن اعتماد الحملة على مكتبات DLL الأصلية وتقنيات حقن العمليات داخل dllhost.exe يمنحها قدرة إضافية على الاختباء من العديد من حلول الحماية التقليدية التي تعتمد على مراقبة الملفات التنفيذية المباشرة.
تهديد متزايد لسلسلة التوريد البرمجية
تعكس حملة MALFEX الاتجاه المتنامي للهجمات التي تستهدف مستودعات البرمجيات مفتوحة المصدر، حيث أصبحت مجتمعات التطوير هدفًا رئيسيًا للمهاجمين الراغبين في الوصول إلى أعداد كبيرة من الضحايا عبر حزمة واحدة فقط.
ويزداد خطر هذه الهجمات مع الاعتماد الواسع على npm وPyPI وNuGet وغيرها من المنصات التي تشكل جزءًا أساسيًا من سلاسل التطوير الحديثة. فبمجرد إدراج حزمة خبيثة داخل مشروع مشروع برمجي أو نظام بناء تلقائي، يمكن أن تمتد الإصابة إلى المطورين والاختبارات وبيئات الإنتاج في الوقت نفسه.
ولهذا السبب ينصح خبراء الأمن المؤسسات والمطورين بمراجعة جميع الحزم التابعة لحملة MALFEX، وعزل أي أجهزة ثبت استخدامها لهذه الحزم، وتدوير بيانات الاعتماد الحساسة، وفحص المحافظ الرقمية التي قد تكون احتوت على عبارات استعادة أو مفاتيح خاصة، نظرًا لاحتمال تعرضها للسرقة خلال فترة الإصابة.
