Компрометация Axios npm: руководство по защите

Введение

Microsoft сообщила о серьезной компрометации цепочки поставок npm, затронувшей Axios — одну из самых широко используемых JavaScript-библиотек HTTP. Поскольку Axios часто устанавливается на рабочие станции разработчиков и в конвейеры CI/CD, этот инцидент имеет широкие последствия для безопасности цепочки поставок ПО в средах Windows, macOS и Linux.

Что произошло

31 марта 2026 года были опубликованы две вредоносные версии пакета Axios:

• [email protected]
• [email protected]

По данным Microsoft Threat Intelligence, в этих релизах была добавлена вредоносная зависимость [email protected], которая выполняла post-install script во время npm install или обновления пакетов. Этот install hook связывался с инфраструктурой, контролируемой злоумышленниками, и загружал remote access trojan (RAT) второй стадии.

Microsoft связывает эту кампанию с Sapphire Sleet, северокорейским государственным актором.

Ключевые технические детали

• Исходный код самого Axios, как сообщается, не изменялся.
• Вредоносное поведение было внедрено с помощью техники вставки зависимости.
• Затронутые среды включали конечные точки разработчиков и системы CI/CD.
• Полезные нагрузки подбирались в зависимости от операционной системы:
  • Windows: RAT на базе PowerShell с закреплением через registry Run key
  • macOS: нативный бинарный файл, помещаемый в /Library/Caches
  • Linux/другие: платформенно-специфичные последующие полезные нагрузки
• Вредоносное ПО взаимодействовало с известной вредоносной инфраструктурой, связанной с Sapphire Sleet.

Почему это важно для IT- и security-команд

Эта атака показывает, как доверенные open-source пакеты могут быть превращены в оружие без очевидных изменений в приложении. Даже если приложения внешне работают нормально, компрометация все равно может произойти во время установки, позволяя злоумышленникам красть секреты, закрепляться и продвигаться глубже в корпоративную среду.

Для администраторов основные риски таковы:

• Компрометация учетных данных и токенов разработчиков
• Раскрытие секретов в системах сборки
• Выполнение вредоносного ПО на агентах CI/CD
• Устойчивое закрепление на управляемых устройствах Windows

Рекомендуемые действия

Организациям, установившим затронутые версии Axios, следует действовать немедленно:

1. Откатить Axios на безопасные версии:
   • 1.14.0
   • 0.30.3
2. Сменить секреты и учетные данные, которые могли быть раскрыты.
3. Отключить автообновления для пакетов Axios, пока не будет подтверждено, что среды чисты.
4. Проверить системы разработчиков и сборки на признаки компрометации, особенно механизмы закрепления и подозрительное выполнение скриптов.
5. Использовать обнаружения Microsoft Defender и рекомендации по hunting из advisory Microsoft для выявления вредоносных компонентов и затронутых узлов.

Главное

Компрометация Axios npm напоминает, что управление пакетами и конвейеры CI/CD теперь являются основными поверхностями атаки. Команды безопасности должны рассматривать затронутые установки как потенциальную компрометацию конечных точек и учетных данных, а не просто как проблему пакета.