惡意npm套件imgdecode偽裝圖片解碼工具，暗藏Windows殼碼載入程式

背景與影響

資安研究團隊SafeDep發現名為「imgdecode」的npm套件自2026年9月30日上架後已被下載近千次，其內部僅九行簡短的JavaScript程式碼，實際功能是載入一個編譯好的Windows動態連結庫（DLL），當開發者在Windows主機上執行require('imgdecode')時，便會觸發該DLL從GitHub下載加密殼碼並解密，再注入到新建立的dllhost.exe處理程序中執行。

此套件被歸類為長期攻擊行動「MALFEX」的一部分，該行動自2023年8月起便持續透過多個npm帳號發布惡意套件，鎖定Windows系統使用者，先前已有套件被用來部署Overlord RAT或作為竊資木馬的下載器，手法包含postinstall掛鉤腳本自動連線外部伺服器下載後續酬載。

值得注意的是，攻擊者展現出高度應變能力，每當先前的惡意套件被npm官方下架，便會在短時間內（甚至當天）發布功能相近的替代套件延續攻擊行動，顯示這是一場組織化且持續進行的供應鏈攻擊，開發者社群難以單靠移除單一套件徹底阻斷。

由於Node.js開發者習慣直接透過npm安裝第三方套件而少做審查，一旦誤用此類偽裝成圖片處理、原生模組等常見功能的惡意套件，開發機或建置伺服器即可能遭植入後門，進而危及整個軟體供應鏈的安全性。

解決方案

• 立即檢查專案相依套件中是否引入了imgdecode、runhelper、imgbundle等相關惡意套件並移除。
• 對開發與建置環境進行惡意程式掃描，確認是否已有dllhost.exe等異常程序或網路連線紀錄。
• 導入套件來源與發布者信譽檢查機制，避免安裝發布時間短、下載量異常或作者資訊可疑的套件。
• 在企業內部建立私有套件鏡像或白名單機制，限制開發人員自由安裝未經審核的第三方套件。
• 對CI/CD建置流程啟用網路出口管控，防止建置過程中意外連線至外部惡意伺服器下載酬載。
• 定期使用軟體成分分析（SCA）工具掃描專案相依套件，及早發現已知惡意或高風險套件。
• 提醒開發團隊養成安裝套件前先檢視原始碼與下載統計的習慣，降低供應鏈攻擊風險。