Pacote npm MALFEX 'imgdecode' oculta carregador de shellcode em addon nativo do Windows

Pesquisadores de cibersegurança descobriram um pacote npm malicioso que faz parte de uma campanha recente de ataque à cadeia de suprimentos de software, batizada de MALFEX. O pacote, chamado "imgdecode", foi enviado ao registro de pacotes em 30 de setembro de 2026, por um usuário chamado "malfexteste8". Ele foi baixado 979 vezes até o momento da redação e ainda está disponível no npm até o momento da redação. A versão mais recente de