Axios npm supply chain-aanval: mitigatiegids

Introductie

Microsoft heeft een ernstig npm supply chain-compromis bekendgemaakt dat Axios treft, een van de meest gebruikte JavaScript HTTP-libraries. Omdat Axios vaak wordt geïnstalleerd op developer workstations en in CI/CD-pipelines, heeft dit incident brede gevolgen voor de beveiliging van de software supply chain in Windows-, macOS- en Linux-omgevingen.

Wat is er gebeurd

Op 31 maart 2026 zijn twee kwaadaardige Axios-pakketversies gepubliceerd:

• [email protected]
• [email protected]

Volgens Microsoft Threat Intelligence voegden deze releases een kwaadaardige dependency toe, [email protected], die een post-install-script uitvoerde tijdens npm install of pakketupdates. De install hook maakte contact met infrastructuur die door de actor werd beheerd en downloadde een remote access trojan (RAT) in een tweede fase.

Microsoft schrijft de campagne toe aan Sapphire Sleet, een Noord-Koreaanse statelijke actor.

Belangrijke technische details

• De Axios-broncode zelf zou ongewijzigd zijn gebleven.
• Het kwaadaardige gedrag werd geïntroduceerd via een dependency insertion-techniek.
• Getroffen omgevingen omvatten developer endpoints en CI/CD-systemen.
• Payloads waren afgestemd op het besturingssysteem:
  • Windows: PowerShell-gebaseerde RAT met persistentie via een registry Run key
  • macOS: Native binary geplaatst in /Library/Caches
  • Linux/other: Platformspecificieke vervolg-payloads
• De malware communiceerde met bekende kwaadaardige infrastructuur die is gekoppeld aan Sapphire Sleet.

Waarom dit belangrijk is voor IT- en securityteams

Deze aanval laat zien hoe vertrouwde open-source-pakketten kunnen worden ingezet als wapen zonder duidelijke wijzigingen in applicaties. Zelfs als applicaties normaal lijken te functioneren, kan de compromittering nog steeds plaatsvinden tijdens de installatie, waardoor aanvallers secrets kunnen stelen, persistentie kunnen opbouwen en dieper enterprise-omgevingen kunnen binnendringen.

Voor beheerders zijn de grootste risico’s:

• Gecompromitteerde developer-credentials en tokens
• Blootgestelde secrets in build-systemen
• Malware-uitvoering op CI/CD-agents
• Persistente footholds op beheerde Windows-apparaten

Aanbevolen acties

Organisaties die de getroffen Axios-versies hebben geïnstalleerd, moeten direct handelen:

1. Downgrade Axios naar veilige versies:
   • 1.14.0
   • 0.30.3
2. Roteer secrets en credentials die mogelijk zijn blootgesteld.
3. Schakel auto-updates uit voor Axios-pakketten totdat is bevestigd dat omgevingen schoon zijn.
4. Inspecteer developer- en build-systemen op tekenen van compromittering, vooral persistentiemechanismen en verdachte scriptuitvoering.
5. Gebruik Microsoft Defender-detecties en hunting-richtlijnen uit Microsofts advies om kwaadaardige componenten en getroffen hosts te identificeren.

Conclusie

Het Axios npm-compromis onderstreept dat pakketbeheer en CI/CD-pipelines nu primaire aanvalsoppervlakken zijn. Securityteams moeten getroffen installaties behandelen als mogelijke endpoint- en credential-compromitteringen, niet alleen als een pakketprobleem.