Compromissione supply chain Axios npm: guida

Introduzione

Microsoft ha reso nota una grave compromissione della supply chain npm che interessa Axios, una delle librerie JavaScript HTTP più usate. Poiché Axios viene comunemente installato su workstation di sviluppo e pipeline CI/CD, questo incidente ha implicazioni estese per la sicurezza della supply chain software negli ambienti Windows, macOS e Linux.

Che cosa è successo

Due versioni dannose del pacchetto Axios sono state pubblicate il 31 marzo 2026:

• [email protected]
• [email protected]

Secondo Microsoft Threat Intelligence, queste release hanno aggiunto una dipendenza dannosa, [email protected], che eseguiva uno script post-installazione durante npm install o gli aggiornamenti del pacchetto. L’hook di installazione contattava un’infrastruttura controllata dagli attori della minaccia e scaricava un remote access trojan (RAT) di secondo stadio.

Microsoft attribuisce la campagna a Sapphire Sleet, un attore statale nordcoreano.

Principali dettagli tecnici

• Il codice sorgente di Axios, secondo quanto riportato, è rimasto invariato.
• Il comportamento dannoso è stato introdotto tramite una tecnica di inserimento di dipendenze.
• Gli ambienti interessati includevano endpoint degli sviluppatori e sistemi CI/CD.
• I payload erano adattati in base al sistema operativo:
  • Windows: RAT basato su PowerShell con persistenza tramite chiave di registro Run
  • macOS: binario nativo rilasciato in /Library/Caches
  • Linux/altro: payload successivi specifici per piattaforma
• Il malware comunicava con infrastrutture dannose note collegate a Sapphire Sleet.

Perché è importante per i team IT e di sicurezza

Questo attacco evidenzia come pacchetti open-source affidabili possano essere trasformati in armi senza modifiche evidenti all’applicazione. Anche se le applicazioni sembrano funzionare normalmente, la compromissione può comunque verificarsi al momento dell’installazione, consentendo agli attaccanti di rubare segreti, stabilire persistenza e muoversi più in profondità negli ambienti aziendali.

Per gli amministratori, i rischi principali sono:

• Credenziali e token degli sviluppatori compromessi
• Segreti esposti nei sistemi di build
• Esecuzione di malware sugli agenti CI/CD
• Presenza persistente su dispositivi Windows gestiti

Azioni consigliate

Le organizzazioni che hanno installato le versioni interessate di Axios dovrebbero agire immediatamente:

1. Eseguire il downgrade di Axios a versioni sicure:
   • 1.14.0
   • 0.30.3
2. Ruotare segreti e credenziali che potrebbero essere stati esposti.
3. Disabilitare gli aggiornamenti automatici per i pacchetti Axios finché gli ambienti non sono stati verificati come puliti.
4. Ispezionare i sistemi di sviluppo e build per rilevare segni di compromissione, in particolare meccanismi di persistenza ed esecuzione sospetta di script.
5. Usare le rilevazioni di Microsoft Defender e le indicazioni di hunting fornite nell’avviso di Microsoft per identificare componenti dannosi e host coinvolti.

Conclusione

La compromissione npm di Axios ricorda che la gestione dei pacchetti e le pipeline CI/CD sono ormai superfici di attacco primarie. I team di sicurezza dovrebbero trattare le installazioni interessate come potenziali compromissioni di endpoint e credenziali, non solo come un problema di pacchetto.