#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злонамеренный пакет npm `imgdecode` нацелен на разработчиков, работающих в среде Windows, и загружает нативный DLL-файл, который при определенных условиях скачивает и расшифровывает шеллкод, после чего внедряет его в процесс `dllhost.exe` или выполняет в рамках Node.js. Полезные нагрузки кампании связаны со стиллером/RAT, способным собирать учетные данные, токены, криптовалюту и игровые данные, обеспечивать закрепление в системе и вносить изменения в журналы.
-----

Пакет npm `imgdecode` является частью кампании MALFEX, нацеленной на разработчиков Windows. Версии 1.0.0–1.0.3, опубликованные пользователем `malfexteste8`, содержат предварительно скомпилированное 64-битное нативное дополнение Node.js, расположенное по пути `prebuilds/win32-x64/imgdecode.node`. Импортирование пакета приводит к загрузке DLL без использования установочного скрипта или этапа сборки. Начиная с версии 1.0.1, вредоносное выполнение происходит во время процедуры инициализации модуля N-API. Загрузчик запускается только в том случае, если стандартный вывод подключен к интерактивной консоли Windows, что снижает вероятность активации в средах CI, песочницах и контекстах с перенаправленным выводом.

DLL использует строки, зашифрованные с помощью XOR, и динамически разрешает вызовы Windows API, связанные с сетевыми операциями и внедрением кода в процессы. Она загружает зашифрованные данные с `raw.githubusercontent.com/cavecrew/proj/main/banner.jpg`, расшифровывает ответ с использованием AES-256-CBC, применяя ключ, полученный из `nif-runtime-2027`, и внедряет полученный шеллкод в приостановленный процесс `dllhost.exe`. Ожидается, что полезная нагрузка будет начинаться с исполняемого шеллкода, а не с обычного заголовка PE. Если удаленное внедрение не удается, загрузчик пытается выполнить код внутри процесса Node.js с использованием функций `VirtualAlloc`, `RtlMoveMemory`, `VirtualProtect` и `CreateThread`. При этом не проверяется значение возврата функции `VirtualProtectEx` перед созданием удаленного потока.

Плагин `banner.jpg` не был восстановлен, поэтому его точный следующий этап остаётся неподтверждённым. Однако связанная инфраструктура MALFEX использует то же место промежуточного хранения на GitHub, ту же схему шифрования и загрузчик на языке Go, хеш SHA-256 которого связан с кампанией. Этот загрузчик извлекает `setup.exe` с `104.234.65[.\]75:700` — это приложение Node.js размером 71,5 МБ, идентифицированное как стиллер и инструмент удалённого доступа. Его предполагаемые возможности включают кражу учётных данных и файлов cookie из браузеров, сбор токенов Discord, кражу данных о криптовалюте и игровых данных, поиск файлов с конфиденциальной информацией, функции RAT через WebSockets, закрепление через ключи Run и запланированные задачи, а также модификацию или удаление данных истории событий Windows и PowerShell.

Системы, на которых были загружены пакеты `imgdecode` или связанные с ними пакеты MALFEX, следует рассматривать как потенциально скомпрометированные. К соответствующим индикаторам относятся запуск процесса `dllhost.exe` из `node.exe` без аргумента `/Processid`, соединения с `raw.githubusercontent.com`, за которыми следует подозрительная активность `dllhost.exe`, а также нативные модули, импортирующие сетевые и криптографические API без легитимной функциональности обработки изображений. Специалисты по реагированию на инциденты должны изолировать затронутые хосты, собрать образы оперативной памяти, проверить механизмы закрепления и журналы событий, а также обновить учетные данные, токены, ключи и секреты кошельков, использовавшиеся на этих системах.