Windows kullanıcılarını hedef alan kötü amaçlı bir npm paketi, görünürde masum bir görüntü işleme aracı gibi sunulsa da arka planda shellcode yükleyici çalıştırıyor. imgdecode adıyla yayımlanan paket, 30 Eylül 2026’da “malfexteste8” adlı kullanıcı tarafından npm kayıt defterine yüklendi ve yazım sırasında hâlâ platformda erişilebilir durumdaydı.
Paket, Windows native addon içine saklandı
İncelemeye göre saldırgan, zararlı işlevi JavaScript tarafına açıkça yazmak yerine Windows için hazırlanmış bir native addon içine gömdü. Bu yöntem, paketin ilk bakışta meşru bir bağımlılık gibi görünmesini sağlıyor ve davranışın bir kısmını derleme aşamasında yüklenen yerel koda taşıyor. Böylece kötü amaçlı yük, klasik npm taramalarında daha kolay gözden kaçabiliyor.
imgdecode paketinin son sürümünün de bu yapıyı koruduğu belirtildi. Paket şu ana kadar 979 kez indirildi. Sayı yüksek görünmese de, npm gibi geniş kullanılan bir ekosistemde bu tür paketlerin özellikle otomatik bağımlılık ekleyen geliştirici akışlarında hızla yayılabildiği biliniyor.
Masum isim, gizlenen yük
Paketin adı da işlevi kadar yanıltıcı görünüyor. “imgdecode”, görüntü çözümleme ya da medya işleme bileşeni izlenimi veriyor; bu da yazılım geliştiricilerin hızlı bağımlılık seçimi sırasında dikkatini azaltabiliyor. Araştırmacılar, zararlı kodun Windows ortamında çalışacak biçimde paketlenmesinin, platforma özgü hedefleme yapıldığını ortaya koyduğunu aktardı.
npm üzerindeki bu tür kampanyalarda saldırganlar çoğu zaman tek bir yöntemle yetinmiyor. Paket adı, açıklama metni ve kod yapısı birlikte kullanılarak meşru yazılım izlenimi oluşturuluyor; asıl yük ise native addon katmanında saklanıyor. imgdecode örneğinde de paket, JavaScript dünyasının üst katmanında sıradan bir araç gibi davranırken, yerel kod tarafında shellcode yükleme zincirini devreye sokuyor.
Paketin hâlâ erişilebilir olması, tedarik zinciri denetimlerinde yalnızca sürüm numarasına bakmanın yeterli olmadığını bir kez daha gösterdi. Araştırmacıların aktardığı bulgulara göre imgdecode, npm üzerinde dolaşımda kalmayı sürdürürken Windows tabanlı sistemler için risk oluşturan bir örnek olarak öne çıkıyor.