--- title: "MALFEX kampanyasındaki imgdecode npm paketi Windows yerel eklentisine shellcode yükleyici saklıyor" url: "https://teknotayf.com/haber/malfex-kampanyasindaki-imgdecode-npm-paketi-windows-yerel-eklentisine-shellcode-yukleyici-sakliyor" markdown_url: "https://teknotayf.com/haber/malfex-kampanyasindaki-imgdecode-npm-paketi-windows-yerel-eklentisine-shellcode-yukleyici-sakliyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-17 14:11:56" updated: "2026-10-18 00:58:21" category: "Siber Güvenlik" tags: ["Siber Saldırı","Npm Güvenlik Açığı","Malware","Windows Güvenlik"] source: "The Hacker News" --- # MALFEX kampanyasındaki imgdecode npm paketi Windows yerel eklentisine shellcode yükleyici saklıyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/malfex-kampanyasindaki-imgdecode-npm-paketi-windows-yerel-eklentisine-shellcode-yukleyici-sakliyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Siber güvenlik araştırmacıları, MALFEX yazılım tedarik zinciri saldırısının parçası olan kötü amaçlı imgdecode paketini tespit etti. Paket 30 Eylül 2026’da yüklendi, 979 kez indirildi ve Windows sistemlerine shellcode enjekte eden bir DLL barındırıyor. Tehdit aktörü npm kaldırma işlemlerine karşılık yeni ikame paketler yayınlamaya devam ediyor. - **Yayın tarihi:** 2026-10-17 14:11 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Saldırı, Npm Güvenlik Açığı, Malware, Windows Güvenlik - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/malfex-npm-package-imgdecode-hides.html) ![MALFEX kampanyasındaki imgdecode npm paketi Windows yerel eklentisine shellcode yükleyici saklıyor](https://teknotayf.com/assets/uploads/2026/10/ef5c3b5e3e5fb20749bf2166f9df122e.jpg) Siber güvenlik araştırmacıları, yakın zamanda açıklanan **MALFEX** adlı yazılım tedarik zinciri saldırısı kampanyasının parçası olan kötü amaçlı bir npm paketini keşfetti. Paket **imgdecode** adını taşıyor. "malfexteste8" adlı kullanıcı tarafından 30 Eylül 2026’da paket kayıt defterine yüklendi. Yazım itibarıyla 979 kez indirildi ve yazım itibarıyla npm’de hâlâ mevcut. Paketin en son sürümü 1.0.3. SafeDep’e göre npm paketi imgdecode, derlenmiş bir Node.js eklentisinde kötü amaçlı bir yükleyici gizliyor. Dokuz satırlık JavaScript dosyası bir Windows dinamik bağlantı kitaplığı (DLL) yüklüyor. Bir Node.js programı Windows konsolundan require('imgdecode') çağrısı yaptığında DLL, GitHub’dan şifreli shellcode indirmeye çalışıyor. Yanıtı şifresini çözüyor ve sonucu yeni bir dllhost.exe sürecine enjekte ediyor. Checkmarx ve CloudSEK tarafından ilk kez belgelenen MALFEX, bilinmeyen bir tehdit aktörünün Windows sistemlerini tehlikeye atmak amacıyla 6 Ağustos 2023’ten bu yana npm’e kötü amaçlı paketler yayınladığı uzun soluklu bir kampanyaya verilen isim. Bu paketler beş npm yayıncı hesabı üzerinden yayınlandı: malfexkkj, malfex_user, malfexteste2, malfexteste3, malfexteste4. Belirlenen sekiz paketten üçü Overlord RAT için yükleyici olarak çalışırken, diğer üçü ("cdn-img-fetch", "img-to-native" ve "native-runner") Node.js tabanlı bir hırsız indirmek ve çalıştırmak için birlikte çalıştı. Üçüncü bir enfeksiyon yolu, harici bir sunucuyla iletişim kurabilen ve belirtilmemiş bir sonraki aşama ikili dosyasını alabilen JavaScript’i çalıştırmak için postinstall kancasının kullanılmasını içeriyordu. İlginç bir şekilde, kampanyanın arkasındaki tehdit aktörü, kamuya açık açıklamalar ve npm kaldırma işlemlerine yanıt olarak "native-runner" ve "img-to-native" için iki gün içinde "runhelper" ve "imgbundle" şeklinde ikameler yayınlıyor gibi görünüyor. Aynı gün "imgdecode"ün ilk sürümü yayınlandı. Olayların zaman çizelgesi şu şekilde - 26 Eylül 2026 - cdn-img-fetch, img-to-native ve native-runner 1.0.0 yayınlandı 28 Eylül 2026, 16:06 UTC - npm native-runner ve img-to-native’i kaldırdı 30 Eylül 2026, 03:29 UTC - imgbundle 1.0.0 yayınlandı, img-to-native’in yerini aldı 30 Eylül 2026, 03:37 UTC - runhelper 1.0.0 yayınlandı, native-runner’ın yerini aldı 30 Eylül 2026, 16:13 UTC - runhelper yayınlanmadı 30 Eylül 2026, 22:32 UTC - imgdecode 1.0.0 yayınlandı 30 Eylül 2026, 23:07 UTC - imgdecode 1.0.1 yayınlandı 1 Ekim 2026, 17:48 UTC - imgdecode 1.0.2 yayınlandı 7 Ekim 2026, 23:06 UTC - npm imgbundle’ı kaldırdı 8 Ekim 2026, 13:03 UTC - npm cdn-img-fetch’i kaldırdı 11 Ekim 2026, 22:09 UTC - imgdecode 1.0.3 yayınlandı Node.js hırsızı zinciri, paketlerin hiçbirinin kurulum kancası içermemesiyle dikkat çekiyor. Bunun yerine kötü amaçlı kod "native-runner" yüklendiğinde çalışıyor. Paket bağımlılık olarak "img-to-native"i listeliyor ve bu da kendi bağımlılığı olarak "img-to-native"i içeriyor. Bu paketlerin her birinin tam işlevi aşağıda - cdn-img-fetch, GitHub deposu ("cavecrew/proj") üzerinden "banner.png"i indiriyor ve şifreli bir blob çıkarıyor. img-to-native, blob’u "malfexteam2027" anahtarıyla şifresini çözüyor ve içeriği diskte bir Go yürütülebilir dosyası olarak yazıyor ("%APPDATA%\Microsoft\Windows\node_runtime_helper.exe"). native-runner, Go yürütülebilir dosyasını çalıştırıyor ve bu da hırsız ikili dosyasını ("setup.exe" aka movinlike) "104.234.65[.]75:700" adresinden indiriyor. "Node.js projelerinden yerel ikili dosyaları başlatmak için" yardımcı bir araç olarak duyurulan "runhelper", kötü amaçlı kod çalıştırmak üzere tasarlandığı için "native-runner"a benzer şekilde çalışıyor. Birincil sorumluluğu bir JPG dosyası ("cdn-img-fetch/.runtime/rt.jpg") bulmak, içinden shellcode çıkarmak, onu yürütülebilir belleğe kopyalamak ve Node.js için Yabancı Fonksiyon Arayüzü (FFI) modülü olan Koffi’yi kullanarak çalıştırmak. SafeDep’e göre runhelper yayınlanmadıktan altı saat sonra operatör, shellcode’u çalıştırmak için derlenmiş bir DLL ile imgdecode’u yayınladı. 1.0.1 sürümünden itibaren DLL ayrıca yükü indiriyor ve şifresini çözüyor. 1.0.1 ve 1.0.2 sürümleri DLL’i yüklemeden önce hâlâ require('imgbundle') çağrısı yapıyor. 1.0.3 sürümü bu bağımlılığı kaldırıyor ve başka bir MALFEX paketine ihtiyaç duymuyor. "runhelper"da olduğu gibi, "imgdecode"ün 1.0.0 sürümü "imgbundle"ın "cdn-img-fetch/.runtime/" konumuna bir dosya yazmasını bekliyor ve dosya kullanılabilir hâle geldiğinde içeriğini belleğe okuyor ve veriyi çözmek için yerel bir Node.js eklentisine iletiyor. Eklenti, 64 bit Microsoft Visual C++ (MSVC) DLL’sidir. Önce geliştirici terminalinde çalışıp çalışmadığını kontrol ediyor, ardından aynı depodan ("cavecrew/proj") bir JPG dosyası ("banner.jpg") alıyor, gömülü yükü "nif-runtime-2027" anahtarıyla şifresini çözüyor ve çıktıyı nihayetinde "dllhost.exe"ye enjekte ediyor. SafeDep açıkladı: Şifre çözmeden sonra DLL, düz metnin ilk baytlarını kontrol ediyor. JPEG veya PNG imzasıyla eşleşirlerse DLL duruyor. Çıkarım: Operatör, şifreli içeriği bir görüntüye çözülecek şekilde sunarak yükleyiciyi kapatabilir. Normal bir görüntü sunmak bunun yerine genellikle şifre çözmenin bu kontrolden önce başarısız olmasına neden olur. GitHub hesabı "cavecrew" artık erişilemez olsa da, 6 Ekim 2026 tarihli Internet Archive ekran görüntüsü, görüntü dosyasının Node.js hırsızını ve uzaktan erişim aracını ("movinlike") "104.234.65[.]75:700"den almak için kullanılan aynı Go tabanlı indirici olduğunu gösteriyor. Node.js uygulaması, komuta ve kontrol (C2) adresi ("104.234.65[.]75:7007") ve bir MALFEX lisans anahtarı içeren bir .env dosyası içeriyor; bu da bu tür yüklerin oluşturulması için bir kötü yazılım oluşturucu veya lisanslama sisteminin kullanıldığını gösteriyor. Kötü yazılım, sanal makineler, kum havuzları ve Process Monitor ve Wireshark gibi analiz araçlarının varlığını denetleyen anti-analiz kontrolleri çalıştırıyor ve ardından tohum ifadeleri ve belirli uzantılarla (.kdbx, .pem, .ppk ve .env) eşleşen dosyaları topluyor; ayrıca Chromium tabanlı web tarayıcıları, Discord, Telegram, kripto para cüzdanları ve oyun uygulamaları (Steam, Epic Games, Riot, Battle.net, Minecraft ve Ubisoft) verilerini de topluyor. Ayrıca C2 sunucusuyla bir WebSocket bağlantısı kurabiliyor; bu da kabuk yürütme, dosya aktarımı, işlem kontrolü, pano erişimi, ekran görüntüsü ve fare ve klavye girişi için komut kabul etmesine olanak tanıyor. Kalıcılık için bir Kayıt Defteri Çalıştırma anahtarı ekliyor ve "MicrosoftEdgeUpdateService" adında bir zamanlanmış görev oluşturuyor. Bahsi geçen paketlerden herhangi birini yükleyen geliştiriciler Windows sistemlerini potansiyel olarak tehlikeye atılmış olarak değerlendirmeli, bunları izole etmeli, kalıcılık girdilerini kontrol etmeli, kimlik bilgilerini değiştirmeli ve tohum ifadeleri içinde saklanmışsa fonları yeni cüzdanlara aktarmalı. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/malfex-kampanyasindaki-imgdecode-npm-paketi-windows-yerel-eklentisine-shellcode-yukleyici-sakliyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.