Ataque na Cadeia de Suprimentos: Axios e npm Comprometidos por Malware
Ataque Sofisticado Comprometendo Axios no npm
Em 30 de março de 2026, a StepSecurity identificou duas versões maliciosas da popular biblioteca HTTP client JavaScript, axios, publicadas no npm: axios@1.14.1 e axios@0.30.4. Com mais de 100 milhões de downloads semanais, o axios é uma ferramenta essencial para muitos desenvolvedores, tornando este ataque particularmente perigoso.
Como o Ataque Funcionou
As versões comprometidas injetam uma nova dependência, plain-crypto-js@4.2.1, que nunca é importada no código-fonte do axios. O único propósito desta dependência é executar um script postinstall que age como um dropper de acesso remoto (RAT) multiplataforma, visando macOS, Windows e Linux.
O dropper entra em contato com um servidor de comando e controle (C2) ativo e entrega cargas úteis específicas para cada sistema operacional. Após a execução, o malware se autoexclui e substitui seu próprio package.json por uma versão limpa, dificultando a detecção forense.
O que Torna Este Ataque Tão Perigoso
Não há linhas de código malicioso dentro do próprio axios. Essa sutileza é o que torna este ataque tão perigoso. Ambas as versões envenenadas injetam uma dependência falsa, plain-crypto-js@4.2.1, um pacote que nunca aparece no código-fonte do axios, cujo único objetivo é executar um script postinstall que implementa um Trojan de acesso remoto multiplataforma.
Detalhes da Operação
- A dependência maliciosa foi preparada 18 horas antes do ataque.
- Três cargas úteis foram pré-construídas para três sistemas operacionais.
- Ambos os ramos de lançamento foram comprometidos em 39 minutos.
- Cada artefato foi projetado para se autodestruir.
- O malware já estava se comunicando com o servidor do atacante em menos de dois segundos após o npm install.
Este é um dos ataques na cadeia de suprimentos mais sofisticados já documentados contra um pacote top-10 do npm.
Detecção e Resposta
A StepSecurity detectou essas violações usando o AI Package Analyst e o Harden-Runner. A equipe da StepSecurity divulgou a questão de forma responsável aos mantenedores do projeto.
O Harden-Runner, detectou o pacote axios comprometido fazendo conexões anômalas para o domínio C2 do atacante em vários projetos de código aberto. Por exemplo, o Harden-Runner sinalizou o callback C2 para sfrclak.com:8000 durante uma execução de CI de rotina no repositório backstage, um dos frameworks de portal de desenvolvedor mais utilizados.
Como se Proteger
Aqui estão algumas etapas que você pode seguir para se proteger:
- Verifique se você está usando as versões comprometidas do axios (axios@1.14.1 ou axios@0.30.4) em seus projetos.
- Verifique se o diretório node_modules/plain-crypto-js existe em seus projetos. A presença deste diretório, mesmo que o package.json tenha sido substituído, indica que o dropper foi executado.
- Procure por artefatos RAT nos sistemas afetados.
- Revise os logs de suas pipelines de CI/CD para identificar quaisquer execuções de npm install que possam ter puxado as versões comprometidas do axios.
Remediação
- Rebaixe o axios para uma versão limpa e fixe-a.
- Adicione um bloco de substituições para evitar a resolução transitiva de volta para as versões maliciosas.
- Remova o plain-crypto-js de node_modules.
- Se um artefato RAT for encontrado, trate o sistema como totalmente comprometido e reconstrua-o a partir de um estado conhecido.
- Gire todas as credenciais em qualquer sistema onde o pacote malicioso foi executado.
- Use
--ignore-scriptsem CI/CD como uma política permanente para evitar que os scripts postinstall sejam executados durante as compilações automatizadas.
Recursos Adicionais
Este ataque destaca a importância de medidas robustas de segurança da cadeia de suprimentos. Mantenha suas dependências atualizadas, use ferramentas de análise de segurança e esteja atento a atividades suspeitas.
Compartilhar:
