NPM-кампания MALFEX набрала 40 000 загрузок вредоносных пакетов

Checkmarx раскрыла длящуюся с августа 2023 года supply-chain кампанию MALFEX в NPM: 12 пакетов, 8 вредоносных, свыше 40 000 загрузок. Пакет function-flag вредоносен с июля 2025 года, у него более 37 000 загрузок, и ни один advisory его не помечает.

• 12 пакетов опубликовано, 8 из них вредоносные, 5 удалены из реестра
• function-flag: вредоносный с июля 2025 года, более 37 000 загрузок
• Три пути доставки: Overlord RAT, стилер movinlike и отдельный загрузчик
• Заражение затрагивает только Windows, жертвы не выбираются по региону