Axios npm kompromitacija lanca snabdevanja

Uvod

Microsoft je objavio ozbiljnu npm kompromitaciju lanca snabdevanja koja pogađa Axios, jednu od najšire korišćenih JavaScript HTTP biblioteka. Pošto se Axios često instalira na developerskim radnim stanicama i u CI/CD pipeline-ovima, ovaj incident ima široke posledice po bezbednost softverskog lanca snabdevanja u Windows, macOS i Linux okruženjima.

Šta se dogodilo

Dve zlonamerne verzije Axios paketa objavljene su 31. marta 2026:

• [email protected]
• [email protected]

Prema navodima Microsoft Threat Intelligence, ova izdanja su dodala zlonamernu zavisnost, [email protected], koja je izvršavala post-install skriptu tokom npm install procesa ili ažuriranja paketa. Install hook je kontaktirao infrastrukturu pod kontrolom aktera i preuzeo drugu fazu remote access trojan-a (RAT).

Microsoft ovu kampanju pripisuje grupi Sapphire Sleet, severnokorejskom državnom akteru.

Ključni tehnički detalji

• Izvorni Axios kod navodno nije menjan.
• Zlonamerno ponašanje uvedeno je tehnikom ubacivanja zavisnosti.
• Pogođena okruženja uključivala su developerske endpoint-e i CI/CD sisteme.
• Payload-ovi su bili prilagođeni operativnom sistemu:
  • Windows: RAT zasnovan na PowerShell-u sa perzistencijom preko registry Run ključa
  • macOS: Native binary ubačen u /Library/Caches
  • Linux/other: Payload-ovi specifični za platformu u narednoj fazi
• Malware je komunicirao sa poznatom zlonamernom infrastrukturom povezanom sa grupom Sapphire Sleet.

Zašto je ovo važno za IT i bezbednosne timove

Ovaj napad pokazuje kako pouzdani open-source paketi mogu biti pretvoreni u oružje bez očiglednih izmena u aplikaciji. Čak i ako aplikacije deluju kao da normalno funkcionišu, kompromitacija i dalje može nastati u trenutku instalacije, omogućavajući napadačima da ukradu tajne podatke, uspostave perzistenciju i prodru dublje u enterprise okruženja.

Za administratore, najveći rizici su:

• Kompromitovani developerski kredencijali i tokeni
• Izloženi tajni podaci u build sistemima
• Izvršavanje malware-a na CI/CD agentima
• Trajna uporišta na upravljanim Windows uređajima

Preporučene radnje

Organizacije koje su instalirale pogođene Axios verzije treba da deluju odmah:

1. Vratite Axios na bezbedne verzije:
   • 1.14.0
   • 0.30.3
2. Rotirajte tajne podatke i kredencijale koji su možda bili izloženi.
3. Onemogućite automatska ažuriranja za Axios pakete dok se ne potvrdi da su okruženja čista.
4. Proverite developerske i build sisteme u potrazi za znakovima kompromitacije, posebno mehanizmima perzistencije i sumnjivim izvršavanjem skripti.
5. Koristite Microsoft Defender detekcije i hunting smernice iz Microsoft savetodavnog izveštaja da identifikujete zlonamerne komponente i pogođene hostove.

Suština

Axios npm kompromitacija je podsetnik da su upravljanje paketima i CI/CD pipeline-ovi sada primarne površine napada. Bezbednosni timovi treba da tretiraju pogođene instalacije kao potencijalnu kompromitaciju endpoint-a i kredencijala, a ne samo kao problem sa paketom.