Axios npm-Kompromittierung: Leitfaden zur Abwehr

Einführung

Microsoft hat eine schwerwiegende npm-Supply-Chain-Kompromittierung offengelegt, die Axios betrifft, eine der am häufigsten verwendeten JavaScript-HTTP-Bibliotheken. Da Axios häufig auf Entwickler-Workstations und in CI/CD-Pipelines installiert wird, hat dieser Vorfall weitreichende Auswirkungen auf die Sicherheit der Softwarelieferkette in Windows-, macOS- und Linux-Umgebungen.

Was ist passiert

Am 31. März 2026 wurden zwei schädliche Axios-Paketversionen veröffentlicht:

• [email protected]
• [email protected]

Laut Microsoft Threat Intelligence fügten diese Releases eine schädliche Abhängigkeit hinzu, [email protected], die während npm install oder bei Paketupdates ein Post-Install-Skript ausführte. Der Install-Hook kontaktierte eine vom Akteur kontrollierte Infrastruktur und lud einen Remote Access Trojan (RAT) der zweiten Stufe herunter.

Microsoft schreibt die Kampagne Sapphire Sleet zu, einem nordkoreanischen staatlichen Akteur.

Wichtige technische Details

• Der Axios-Quellcode selbst blieb Berichten zufolge unverändert.
• Das schädliche Verhalten wurde durch eine Technik zur Einschleusung von Abhängigkeiten eingeführt.
• Betroffene Umgebungen umfassten Entwicklerendpunkte und CI/CD-Systeme.
• Die Payloads wurden an das jeweilige Betriebssystem angepasst:
  • Windows: PowerShell-basierter RAT mit Persistenz über den Registry-Run-Key
  • macOS: Native Binärdatei abgelegt in /Library/Caches
  • Linux/sonstige: Plattformspezifische Folge-Payloads
• Die Malware kommunizierte mit bekannter schädlicher Infrastruktur, die mit Sapphire Sleet in Verbindung steht.

Warum das für IT- und Sicherheitsteams wichtig ist

Dieser Angriff zeigt, wie vertrauenswürdige Open-Source-Pakete ohne offensichtliche Änderungen an der Anwendung als Waffe eingesetzt werden können. Selbst wenn Anwendungen scheinbar normal funktionieren, kann die Kompromittierung bereits zur Installationszeit erfolgen, sodass Angreifer Secrets stehlen, Persistenz herstellen und tiefer in Unternehmensumgebungen vordringen können.

Für Administratoren sind die größten Risiken:

• Kompromittierte Entwickleranmeldeinformationen und Tokens
• Offengelegte Secrets in Build-Systemen
• Malware-Ausführung auf CI/CD-Agents
• Persistente Zugriffspunkte auf verwalteten Windows-Geräten

Empfohlene Maßnahmen

Unternehmen, die die betroffenen Axios-Versionen installiert haben, sollten sofort handeln:

1. Axios downgraden auf sichere Versionen:
   • 1.14.0
   • 0.30.3
2. Secrets und Anmeldeinformationen rotieren, die möglicherweise offengelegt wurden.
3. Automatische Updates deaktivieren für Axios-Pakete, bis die Umgebungen nachweislich sauber sind.
4. Entwickler- und Build-Systeme prüfen auf Anzeichen einer Kompromittierung, insbesondere Persistenzmechanismen und verdächtige Skriptausführung.
5. Microsoft Defender-Erkennungen und Hunting-Empfehlungen verwenden aus Microsofts Advisory, um schädliche Komponenten und betroffene Hosts zu identifizieren.

Fazit

Die Axios npm-Kompromittierung ist eine Erinnerung daran, dass Paketverwaltung und CI/CD-Pipelines heute primäre Angriffsflächen sind. Sicherheitsteams sollten betroffene Installationen als potenzielle Endpunkt- und Anmeldeinformationskompromittierungen behandeln, nicht nur als Paketproblem.