Investigadores detectaron MALFEX, una campaña de malware en npm que distribuye troyanos de acceso remoto y ladrones de información en sistemas Windows. A través de 12 paquetes maliciosos, el atacante, presuntamente brasileño, ha logrado más de 40,000 descargas, destacando el paquete function-flag. El ataque utiliza ganchos de postinstalación para ejecutar código remoto y robar datos de navegadores, billeteras de criptomonedas y Discord.







Investigadores de ciberseguridad han revelado detalles de una campaña de malware de cadena de suministro de npm de larga duración que distribuye robadores de información y troyanos de acceso remoto (RAT) a hosts comprometidos.

La campaña ha sido bautizada como MALFEX por CloudSEK y Checkmarx. Se estima que la actividad es obra de un único actor de amenazas que parece haber publicado 12 paquetes desde agosto de 2023, de los cuales ocho han sido marcados como maliciosos.

* El ataque está diseñado para infectar sistemas Windows a través de tres vías distintas:
* Un cargador para Overlord, un RAT de código abierto escrito en Go que utiliza transacciones de Solana para extraer la dirección de comando y control (C2).
* Una cadena que instala movinlike, un robador de Node.js dirigido a Discord, navegadores, Telegram y billeteras de criptomonedas.
* Un descargador.

La lista de paquetes maliciosos identificados

• * tlxbnhd
• * tldriver
• * mxdriver
• * img-to-native
• * native-runner
• * function-flag (Aún activo)
• * function-color (Aún activo)
• * cdn-img-fetch (Aún activo)

En total, estos paquetes han sido descargados colectivamente 40.767 veces. De estas, 37.419 descargas corresponden a "function-flag", lo que lo convierte en el principal motor de esta actividad. El paquete fue publicado por primera vez en julio de 2024 y la última versión se lanzó el 4 de agosto de 2025.

La descripción del proyecto para el paquete npm incluye un mensaje de bienvenida escrito en portugués que dice: "Este proyecto fue creado con mucho amor y dedicación por el equipo de Malfex, cuyo propietario es Murizada".


Tres de los paquetes, "tlxbnhd", "tldriver" y "mxdriver", actúan como cargadores del RAT Overlord, donde el código malicioso se activa a través de hooks de ciclo de vida para descargar y ejecutar un ejecutable de Windows.

Un segundo subconjunto de paquetes npm, como "img-to-native", requiere de "cdn-img-fetch" para recuperar y ejecutar un ejecutable de Go, que luego obtiene un robador de Node.js capaz de recolectar datos sensibles.

Dentro de "function-flag" hay un hook de postinstalación que ejecuta una carga útil de JavaScript para descargar un archivo desde un servidor remoto. Se ha descubierto que cada versión del paquete sirve la carga útil desde una ubicación diferente. El paquete "function-color" no incluye carga útil propia, pero lista a "function-flag" como una dependencia.

"En la versión 1.7.3, la más reciente, el script de postinstalación ejecuta example.js, que llama a la función de arte ASCII del paquete con la fuente Bloody", afirmó Checkmarx. "Ese valor de fuente activa una rutina oculta que descarga node.exe desde cdnzona.discloud.app, un host de un servicio de alojamiento de aplicaciones brasileño, lo guarda en %APPDATA%\node.exe y lo ejecuta con su ventana oculta".

Curiosamente, el RAT Overload ha sido observado en otras dos campañas desde julio de 2026: una que implica la explotación de fallos de WordPress (CVE-2026-63030 y CVE-2026-60137, conocidos como wp2shell) y una campaña de macOS en la que se utiliza un instalador falso de Zoom para desplegar el RAT. La campaña del instalador falso de Zoom comparte similitudes tácticas con un grupo de amenazas sospechoso de estar alineado con Corea del Norte, apodado UNK_DeadDrop.

"El operador habla portugués, los commits de git están en -0300, la descripción de un repositorio está en portugués y el nombre de usuario y correo de GitHub indican un seudónimo brasileño común", señaló CloudSEK. "Nada de esto es un argumento de que la campaña se dirija a Brasil. Es una pieza de atribución al espacio lingüístico del operador y nada más. La entrega es a través de npm y Discord, ambos globales; el objetivo de la segunda etapa es oportunista".

Fuente:
THN