npmパッケージ8件からマルウェア検出、4万回超ダウンロードでRATやスティーラーを拡散

要点

• セキュリティ企業が、npmを悪用したマルウェア拡散キャンペーン「MALFEX」の解析結果を公表した。

• 悪意あるパッケージ8件の合計ダウンロード数は4万回を超え、一部は現在も公開が続いている。

• Windows環境を標的に、Solanaの通信を利用する遠隔操作ツールや機密情報窃取ツールなどを配布していた。

• ポルトガル語圏の単独犯と分析されているが、配布はグローバルに行われ標的は無差別とみられる。

• セキュリティ企業のCloudSEKとCheckmarxの研究チームは2026年10月、JavaScriptのパッケージ管理システム「npm」を悪用したサイバー攻撃キャンペーン「MALFEX」の詳細を公表した。2023年8月以降、単独の攻撃者が公開したパッケージ群を通じ、Windows環境を標的とするリモートアクセス型トロイの木馬（RAT：遠隔操作を可能にする不正プログラム）や情報窃取ツールの拡散が行われていたという。確認された悪質パッケージ8件のダウンロード数は累計4万回以上に達しており、一部は現在も公開状態にあることが明らかになった。

4万回以上ダウンロードされた8件の悪質パッケージ

研究チームの分析によると、攻撃者が公開した12件のパッケージのうち8件が悪質と判定された。対象として特定されたのは以下の8件である。

• tlxbnhd
• tldriver
• mxdriver
• img-to-native
• native-runner
• function-flag
• function-color
• cdn-img-fetch

これら8件のダウンロード総数は4万767回に上り、その大半にあたる3万7,419回が「function-flag」によるものだった。同パッケージは2024年7月に初回公開され、2025年8月4日に最新版がリリースされている。また「function-flag」「function-color」「cdn-img-fetch」の3件は、現在も削除されずアクセス可能な状態（Still live）だという。

プロジェクトの説明欄には、ポルトガル語で「Malfexチームが愛と献身を込めて作成したもので、オーナーはMurizadaである」といった趣旨のメッセージが記されていた。なお「function-color」自体には悪意あるコードが含まれていないものの、「function-flag」を依存パッケージに指定することで攻撃フローに組み込まれていた。

Windowsを狙う3系統の感染経路と隠蔽手口

本キャンペーンはWindowsシステムへの感染を目的として設計されており、3つの独立した経路でマルウェアを送り込む仕組みとなっていた。

1つ目は、Go言語で記述されたオープンソースの遠隔操作ツール「Overlord RAT」の配備だ。「tlxbnhd」「tldriver」「mxdriver」の3パッケージがローダーとして機能し、パッケージ導入時の処理を自動実行するライフサイクルフックを悪用して実行ファイルをダウンロード・起動する。Overlord RATは、暗号資産「Solana」のトランザクションデータを解析して外部指令サーバー（C2：感染端末を遠隔操作するためのサーバー）のアドレスを取得するという特異な仕様を持つ。

2つ目は、機密情報窃取ツール「movinlike」の導入チェーンである。「img-to-native」などのパッケージ群が「cdn-img-fetch」を介してGo言語の実行ファイルを取得・実行し、そこからNode.js製のインフォスティーラー（端末内の機密情報を盗み出すマルウェア）であるmovinlikeを展開する。movinlikeは、DiscordやTelegram、各種Webブラウザ、暗号資産ウォレットの情報を標的とする。

3つ目は、外部サーバーからバイナリを取得するダウンローダーだ。「function-flag」にはインストール時にスクリプトを自動実行する「postinstall」フックが含まれており、バージョンごとに異なる場所からペイロードを配信していた。Checkmarxによると、現行の最新版1.7.3では、スクリプトがASCIIアート生成関数を呼び出し、フォント名として「Bloody」を指定することを合図に隠蔽ルーチンが作動する。これにより、ブラジルのホスティングサービス（cdnzona.discloud.app）から実行ファイルを取得して「%APPDATA%\node.exe」に保存し、非表示ウィンドウで実行する仕掛けになっていたという。

攻撃者の分析と他キャンペーンでのOverlord RATの動向

CloudSEKの分析によると、本活動は単独の脅威アクターによる犯行と評価されている。Gitコミットのタイムゾーン（-0300）やリポジトリのポルトガル語記述、ブラジルで一般的なハンドル名が使われている点から、攻撃者はポルトガル語圏の人物と分析された。ただし、npmやDiscordといった世界的な基盤を通じて配布されており、特定の国を狙ったものではなく標的の選定は無差別に行われているという。

なおOverlord RATは、2026年7月以降に他の複数の攻撃キャンペーンでも確認されている。WordPressの脆弱性（CVE-2026-63030およびCVE-2026-60137、通称「wp2shell」）を悪用した攻撃や、北朝鮮との関連が疑われる脅威グループ「UNK_DeadDrop」との戦術的重複がみられる、偽Zoomインストーラーを用いたmacOS標的のキャンペーンでも同RATの展開が観測されている。

補足

パッケージ導入時の自動実行フックを悪用して外部から不正コードを引き込む手口は、オープンソースエコシステムにおける代表的なサプライチェーン攻撃の一つである。