แพ็กเกจ npm อันตราย imgdecode ซ่อน Shellcode Loader จากแคมเปญ MALFEX
นักวิจัยความปลอดภัยตรวจพบแพ็กเกจ npm อันตรายชื่อ imgdecode จากแคมเปญ MALFEX ที่ซ่อน Shellcode Loader ไว้ใน Windows Native Addon และยังคงมีให้ดาวน์โหลดบน npm
นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ค้นพบแพ็กเกจ npm ที่เป็นอันตราย ซึ่งจัดอยู่ในแคมเปญโจมตีห่วงโซ่อุปทานซอฟต์แวร์ที่เพิ่งถูกเปิดเผยภายใต้ชื่อ MALFEX โดยแพ็กเกจดังกล่าวมีชื่อว่า imgdecode ถูกอัปโหลดขึ้นสู่ npm registry เมื่อวันที่ 30 กันยายน พ.ศ. 2569 โดยผู้ใช้งานชื่อ malfexteste8 มียอดดาวน์โหลดสะสมถึง 979 ครั้ง และยังคงปรากฏอยู่บน npm จนถึงขณะนี้
จุดที่น่ากังวลคือ เวอร์ชันล่าสุดของแพ็กเกจนี้ถูกออกแบบมาให้ซ่อน Shellcode Loader ไว้ภายในส่วนเสริมของ Windows ที่เรียกว่า Native Addon เทคนิคนี้ทำให้มัลแวร์สามารถทำงานได้โดยแทบไม่ถูกตรวจจับจากโปรแกรมแอนตี้ไวรัสทั่วไป
ลักษณะการโจมตีของแคมเปญ MALFEX
แคมเปญ MALFEX ถือเป็นการโจมตีแบบ supply chain attack ที่มุ่งเป้าไปที่นักพัฒนาซอฟต์แวร์ที่ใช้แพ็กเกจจาก npm โดยผู้โจมตีจะสร้างบัญชีผู้ใช้ปลอมและอัปโหลดแพ็กเกจที่ดูเหมือนไม่มีอันตราย เมื่อนักพัฒนาดาวน์โหลดไปติดตั้ง แพ็กเกจจะทำการฝังโค้ดอันตรายเข้าสู่ระบบโดยที่ผู้ใช้ไม่รู้ตัว
ความน่ากลัวของแคมเปญนี้อยู่ที่การซ่อน Shellcode Loader ไว้ใน Windows Native Addon ซึ่งเป็นคอมโพเนนต์เฉพาะของระบบปฏิบัติการ Windows ทำให้มัลแวร์สามารถทำงานได้อย่างเงียบกริบ และหลีกเลี่ยงการตรวจจับจากเครื่องมือรักษาความปลอดภัยทั่วไปได้
แพ็กเกจ imgdecode ถูกดาวน์โหลดไปแล้วเกือบ 1,000 ครั้ง
จากข้อมูล ณ ขณะที่มีการรายงาน แพ็กเกจ imgdecode มียอดดาวน์โหลดสะสมถึง 979 ครั้ง แม้ว่าจะเป็นแพ็กเกจที่ถูกระบุว่าเป็นอันตราย แต่ยังคงมีให้ดาวน์โหลดได้อยู่บน npm registry ซึ่งทำให้นักพัฒนาที่ไม่ได้ติดตามข่าวสารด้านความปลอดภัยอาจตกเป็นเหยื่อได้
นักพัฒนาที่อาจเคยดาวน์โหลดแพ็กเกจนี้ไปใช้งาน ควรทำการตรวจสอบระบบของตนเองโดยเร็ว พร้อมทั้งลบแพ็กเกจดังกล่าวออกจากโปรเจกต์ทันที และทำการสแกนหามัลแวร์ รวมถึงตรวจสอบการเชื่อมต่อที่ผิดปกติภายในเครื่อง
ผู้อัปโหลดใช้บัญชีผู้ใช้ชื่อ malfexteste8
ผู้อัปโหลดแพ็กเกจ imgdecode ใช้บัญชีผู้ใช้งาน npm ชื่อ malfexteste8 ซึ่งเป็นบัญชีที่สร้างขึ้นโดยเฉพาะเพื่อการโจมตีในครั้งนี้ รูปแบบของการสร้างบัญชีชั่วคราวเพื่ออัปโหลดแพ็กเกจอันตรายเป็นเทคนิคที่พบได้บ่อยในการโจมตีแบบ supply chain
การตั้งชื่อบัญชีให้ดูคล้ายกับบัญชีทดสอบหรือบัญชีส่วนตัว เป็นกลยุทธ์ที่ผู้โจมตีใช้เพื่อหลีกเลี่ยงการตรวจสอบจากผู้ดูแลแพ็กเกจ และทำให้แพ็กเกจดูเหมือนเป็นงานส่วนตัวหรืองานทดสอบที่ไม่เป็นอันตราย จนกว่าจะถูกตรวจพบในภายหลัง
แนวทางป้องกันและข้อแนะนำสำหรับนักพัฒนา
นักพัฒนาซอฟต์แวร์ที่ใช้งาน npm ควรตรวจสอบแพ็กเกจทุกตัวที่นำเข้ามาใช้ในโปรเจกต์อย่างละเอียด ก่อนติดตั้งแพ็กเกจใดๆ ควรดูประวัติการอัปเดต ผู้พัฒนา และรีวิวจากชุมชน รวมถึงตรวจสอบว่าชื่อบัญชีผู้อัปโหลดมีความน่าเชื่อถือเพียงใด
นอกจากนี้ ควรใช้เครื่องมือตรวจสอบช่องโหว่อัตโนมัติ เช่น npm audit หรือเครื่องมือวิเคราะห์ซอฟต์แวร์ supply chain เพื่อช่วยในการตรวจจับแพ็กเกจที่มีความเสี่ยง และหากพบแพ็กเกจต้องสงสัย ควรรายงานไปยังทีมรักษาความปลอดภัยขององค์กรทันที
การโจมตีแบบ supply chain มีแนวโน้มเพิ่มมากขึ้นในช่วงหลายปีที่ผ่านมา และผู้โจมตีมีการพัฒนาเทคนิคใหม่ๆ อยู่ตลอดเวลา ดังนั้นการตื่นตัวและหมั่นตรวจสอบระบบอย่างสม่ำเสมอจึงเป็นสิ่งสำคัญอย่างยิ่งสำหรับทุกองค์กรที่พัฒนาซอฟต์แวร์
Reference
The Hacker News
หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม
💬 Line @monsteronline
☎️ Tel 02-026-6664
📩 Email [email protected]
🌐 Website mon.co.th