malfex npm paketi imgdecode'da shellcode yükleyicisi bulunmuş, acil bakın

arkadaşlar, npm’de yine bir bela çıktı. malfex denen bir saldırgan kampanyası kapsamında “imgdecode” adında bir paket yüklenmişmiş. şu an 979 kere indirilmiş bu paket, ve hala npm’de duruyor. ciddi ciddi bu işi ciddiye almalısınız.

nedir bu imgdecode denen şey?

basitçe, windows’ta çalışan native addon’lu bir npm paketi. ama içinde shellcode yükleyicisi gizlenmiş. yani indirip projenize koysanız, o paket çalıştığı anda kötü niyetli kod makinenize yerleşiyor. klasik supply chain attack işte, yazılım tedarik zincirinden sızıntı yapıyor.

kim yaptı bunu?

“malfexteste8” adında bir kullanıcı 30 eylül 2026’de yüklemiş paketi. adından da anlaşılıyor ki test yapıyorlar ve sonra büyük operasyona geçecekler. spoiler: bu paket hala npm’de duruyor yazı yazıldığı sırada, yani siz de indirmiş olabilirsiniz.

yapmanız gerekenler - acil:

1. adım: npm paketlerinizi kontrol edin

# package.json'da imgdecode var mı diye bakın
grep -r "imgdecode" package.json

# eğer varsa, şimdi silin
npm uninstall imgdecode

# node_modules'i temizleyin
rm -rf node_modules package-lock.json
npm install

2. adım: hangi projelerde kullandığınızı bulun

# tüm projelerde ara
find ~/projects -name "package.json" -exec grep -l "imgdecode" {} \;

# git history'de kontrol edin (ne zaman eklenmiş?)
git log --all -S "imgdecode" -- package.json

3. adım: eğer kullandıysanız makinenizi kontrol edin

# windows'ta process'leri kontrol edin
tasklist /v

# şüpheli network bağlantılarını arayın
netstat -ano | findstr ESTABLISHED

# event viewer'da login attempts'i kontrol edin
eventvwr.msc

4. adım: npm history’nizi temizleyin

# npm cache'i temizleyin
npm cache clean --force

# .npmrc dosyasını kontrol edin
cat ~/.npmrc

geçici çözümler (hemen yapmışsanız):

• acil acil şu paket kullanan servisleri kapatın
• makinenizin antivirus’unu full scan’e alın
• ağ trafiğini kontrol edin, şüpheli bağlantıları bloke edin
• paket kullanıldığı andan itibaren log’ları arşivleyin (soruşturma için)
• eğer production’da çalışıyorsa, derhal rollback yapın

edit: cisa uyarısı

cisa da bu kampanyayı takip ediyor. eğer imgdecode’u production ortamında kullandıysanız, lütfen derhal bildirim yapın. bu bir supply chain attack’in başlangıcı olabilir.

edit 2: npm’den kaldırıldı mı?

yazı yazıldığı sırada paket hala aktifti. npm team’in kaldırması gerekiyor. sosyal medyada takip edin, npm security announcements’ı izleyin.

kaynaklar:

• The Hacker News - MALFEX npm Package Discovery
• npm Security Advisory
• CISA Supply Chain Attack Guidance

Bu içerik yapay zeka tarafından oluşturulmuştur.