Die beliebte Axios-Bibliothek, die in zahlreichen JavaScript-Projekten zur Ausführung von HTTP-Anfragen verwendet wird, hat einen Supply-Chain-Angriff aufgezeichnet, der zwei spezifische, in der NPM-Registrierung veröffentlichte Versionen kompromittiert hat. Investigadores von StepSecurity identifizierte die Versionen 1.14.1 und 0.30.4 als bösartig und wurde in den frühen Morgenstunden des 31. März 2026 veröffentlicht. Die Pakete injizierten eine gefälschte Abhängigkeit, die ein Installationsskript ausführt, das einen Fernzugriffstrojaner auf Entwicklercomputern installieren kann.
Der Vorfall enthüllte das riesige Entwicklungsökosystem, das von der Bibliothek abhängt, die mit mehr als 100 Millionen wöchentlichen Downloads eine der am häufigsten heruntergeladenen auf der Plattform ist. Die Angreifer haben den Kerncode von Axios nicht verändert, sondern eine versteckte Abhängigkeit namens plain-crypto-js@4.2.1 hinzugefügt. Die Essa-Abhängigkeit wird automatisch aktiviert, wenn npm install ausgeführt wird und bestimmte Payloads für Windows, macOS und Linux installiert werden.
Wie das Wartungskonto kompromittiert wurde
Die Verantwortlichen des Angriffs verschafften sich Zugriff auf das NPM-Konto des Hauptbetreuers des Projekts, der als Jasonsaayman identifiziert wurde. Eles hat die zugehörige E-Mail-Adresse in geändertifstap@proton.meund veröffentlichte die kompromittierten Versionen manuell und umging dabei die automatisierten kontinuierlichen Integrationsabläufe des Repositorys auf GitHub. Die erste schädliche Version, axios@1.14.1, wurde gegen 00:21 UTC veröffentlicht, gefolgt von axios@0.30.4 etwa 39 Minuten später.
Dieser Ansatz ermöglichte die Bereitstellung von Paketen, ohne Signaturprüfungen oder übliche CI/CD-Prozesse auszulösen. Die Betreuer von Axios reagierten schnell auf die Entdeckung und NPM entfernte beide Versionen innerhalb von Stunden, wodurch die Offenlegungszeit auf etwa zwei bis drei Stunden begrenzt wurde.
https://twitter.com/TheHackersNews/status/2038862039482093999?ref_src=twsrc%5EtfwTechnische Details der eingeschleusten Schadsoftware
Die falsche Abhängigkeit plain-crypto-js@4.2.1 wurde zu keinem Zeitpunkt im ursprünglichen Axios-Code importiert und diente ausschließlich der Ausführung eines Postinstall-Skripts. Das Skript fungierte als Fernzugriffs-Trojaner-Dropper und stellte Kontakt zu einem Befehls- und Kontrollserver her, um zusätzliche Nutzlasten herunterzuladen, die auf jedes Betriebssystem zugeschnitten waren.
Um eine sofortige Analyse zu erschweren, wurden Verschleierungstechniken eingesetzt, bei denen Befehle zur Laufzeit dekodiert wurden. Bei erfolgreicher Installation von Após entfernte die Malware ihre eigenen Spuren und ersetzte die Datei package.json durch eine saubere Version, um eine Entdeckung bei späteren Inspektionen des Ordners node_modules zu vermeiden.
- Suchen nach betroffenen Versionen mit dem Befehl „npm list axios“, der 1.14.1 oder 0.30.4 filtert
- Überprüfen Sie das Vorhandensein des Ordners „node_modules/plain-crypto-js“ als Indikator für eine Kompromittierung
- Suchen Sie nach Artefakten wie temporären Dateien in /tmp/ld.py oder Äquivalenten auf anderen Systemen
Empfohlene Abhilfemaßnahmen für Entwickler
Entwickler, die die Versionen 1.14.1 oder 0.30.4 installiert haben, sollten davon ausgehen, dass die Umgebung gefährdet ist, und sofort Maßnahmen ergreifen. Die Hauptempfehlung besteht darin, zu den vorherigen sicheren Versionen zurückzukehren: axios@1.14.0 im neuesten Zweig oder axios@0.30.3 in der Legacy-Version.
Es ist wichtig, die gefälschte Abhängigkeit zu entfernen, eine Neuinstallation mit dem Flag –ignore-scripts durchzuführen und alle vertraulichen Anmeldeinformationen, einschließlich NPM-Tokens, SSH-Schlüssel, Cloud-Service-Zugriffe und Umgebungsvariablen, zu rotieren. In kontinuierlichen Integrationspipelines hilft die dauerhafte Übernahme des Parameters, der Skripte nach der Installation ignoriert, unerwünschte automatische Ausführungen zu verhindern.
Auswirkungen auf das JavaScript-Entwicklungsökosystem
Axios gehört zu den am häufigsten verwendeten Bibliotheken im Node.js-Ökosystem und in Front-End-Anwendungen und ist eine direkte oder indirekte Abhängigkeit zahlreicher Unternehmens- und Open-Source-Projekte. Der Angriff verdeutlicht die inhärente Verwundbarkeit einzelner Betreuerkonten in sehr beliebten Paketen, selbst wenn der Kerncode intakt bleibt.
Sicherheitsexperten stellen fest, dass die verwendete Methode betriebliche Raffinesse aufweist, da die falsche Abhängigkeit zunächst in einer sauberen Version vorbereitet wird, bevor die bösartige Nutzlast eingeschleust wird. Die Essa-Strategie erschwerte die anfängliche automatische Erkennung und erhöhte das Risiko während des kurzen Zeitraums, in dem die Versionen verfügbar waren.
Richtlinien zur Überprüfung und Reinigung betroffener Umgebungen
Entwicklungsteams müssen Installationsprotokolle und den Paketverlauf prüfen, um festzustellen, ob schädliche Versionen heruntergeladen wurden. Das Vorhandensein des Ordners plain-crypto-js in node_modules dient als starker Indikator dafür, dass der Dropper ausgeführt wurde, unabhängig von einer späteren Dateientfernung.
Nach der Bereinigung wird empfohlen, die Systeme vollständig mit Bedrohungserkennungstools zu scannen und die Netzwerkverbindungen zu Adressen zu überwachen, die mit dem Kontrollserver verknüpft sind. Die sofortige Aktualisierung von Sicherheitsrichtlinien in privaten Repositorys trägt auch dazu bei, ähnliche Risiken in anderen Paketen zu reduzieren.
Verhinderung zukünftiger Angriffe auf Paketprotokolle
Der Vorfall unterstreicht die Bedeutung von Maßnahmen wie einer strikten Multi-Faktor-Authentifizierung bei Veröffentlichungskonten, einer kontinuierlichen Überwachung von Änderungen an Paketmetadaten und der Einführung robusterer Integritätsprüfungen. Projetos Open-Source-Systeme mit hoher Akzeptanz können vor der Veröffentlichung neuer Versionen zusätzliche Überprüfungsprozesse in Betracht ziehen.
Einzelne Entwickler und Unternehmen sollten der Fixierung bekannter sicherer Versionen in Projektkonfigurationsdateien Vorrang einräumen und so die automatische Installation von Updates ohne vorherige Validierung vermeiden. Essas-Praktiken tragen dazu bei, die Angriffsfläche in Software-Lieferketten zu begrenzen.
Die Sicherheitsgemeinschaft beobachtet den Fall weiterhin, um mögliche Opfer zu ermitteln und die Erkennungstools zu verfeinern. Até Derzeit gibt es keine öffentlichen Berichte über groß angelegte Ausnutzungen, aber die einstimmige Empfehlung lautet, jede Installation der betroffenen Versionen als vollständige Kompromittierung des betroffenen Systems zu betrachten.