网络安全研究人员披露了一个长期存在的npm供应链恶意软件活动的详细信息，该活动将信息窃取者和远程访问木马（RAT）推送到被攻陷的主机上。
该活动被CloudSEK和Checkmarx称为MALFEX。该活动被评估为一名独立威胁行为者的作品，自2023年8月以来，该行为者似乎发布了12个包，其中8个被标记为恶意。
该攻击旨在通过三条独立路径感染Windows系统 -
一个用于Overlord的加载器，这是一个用Go编写的开源RAT，利用Solana交易提取命令与控制（C2）地址
一个安装movinlike的链条，这是一个针对Discord、浏览器、Telegram和加密货币钱包的Node.js窃取者，以及
一个下载器
已识别的恶意包列表如下 -
tlxbnhd
tldriver
mxdriver
img-to-native
native-runner
function-flag（仍在活跃）
function-color（仍在活跃）
cdn-img-fetch（仍在活跃）
总的来说，这些包共被下载了40,767次。其中，37,419次下载对应于“function-flag”，使其成为该活动的最大驱动因素。该包首次发布于2024年7月，最新版本于2025年8月4日发布。
npm包的项目描述包含一条用葡萄牙语写的欢迎信息，内容为：“这个项目是由Malfex团队以大量爱和奉献精神创建的，团队的所有者是Murizada。”
三个包“tlxbnhd”、“tldriver”和“mxdriver”充当Overlord RAT加载器，其恶意代码通过生命周期钩子触发，以下载并运行Windows可执行文件。
第二组npm包，例如“img-to-native”，需要“cdn-img-fetch”来检索并执行Go可执行文件，然后获取一个能够收集敏感数据的Node.js窃取者。
在“function-flag”中存在一个postinstall钩子，运行一个JavaScript有效负载以从远程服务器下载有效负载。该包的每个版本都被发现从不同位置提供有效负载。“function-color”包本身不嵌入任何有效负载，但将“function-flag”列为依赖项。
“在1.7.3，即当前最新版本中，postinstall脚本运行example.js，该脚本调用包的ASCII艺术功能，使用Bloody字体，”Checkmarx表示。“该字体值触发一个隐藏例程，从cdnzona.discloud.app下载node.exe，这是一个位于巴西应用托管服务上的主机，将其保存到%APPDATA%\node.exe，并以隐藏窗口运行。”
有趣的是，自2026年7月以来，Overload RAT已在另外两个活动中被观察到：一个涉及WordPress漏洞的利用（CVE-2026-63030和CVE-2026-60137，即wp2shell），另一个是macOS活动，其中使用假Zoom安装程序来部署RAT。假Zoom安装程序活动与一个被怀疑与朝鲜相关的威胁集群UNK_DeadDrop存在战术重叠。
“操作者讲葡萄牙语，git提交时间为-0300，一个代码库描述为葡萄牙语，GitHub显示名称和电子邮件提供了一个常见的巴西处理方式，”CloudSEK表示。“这些都不是论据，表明该活动针对巴西。这只是对操作者自身语言空间的归属，没有其他意义。交付方式是npm和Discord，这两者都是全球性的；第二阶段的目标是机会主义的。”
觉得这篇文章有趣吗？请在Google News、Twitter和LinkedIn上关注我们，阅读更多我们发布的独家内容。