Пакет Axios атаковали через цепочку поставок npm

Популярный JavaScript-пакет Axios стал целью масштабной атаки на цепочку поставок. 30 марта 2026 года в npm появились две вредоносные версии библиотеки, которую скачивают 83 млн раз в неделю. Изучившие особенности атаки специалисты отметили, что паттерны совпадают с предыдущей активностью UNC1069. Эта группировка регулярно атакует цепочки поставок софта с целью хищения криптовалюты, компрометируя преимущественно open source-проекты.

Злоумышленники взломали аккаунт одного из специалистов поддержки Axios, заменили имеющийся адрес электронной почты на аналогичный в Proton Mail и загрузили заражённые версии 1.14.1 и 0.30.4. Атакующие не меняли основной код библиотеки, чтобы не вызвать подозрений. Вместо этого они добавили вредоносную транзитивную зависимость — пакет plain-crypto-js версии 4.2.1. В отличие от прямых зависимостей, второстепенные гораздо реже подвергаются проверкам.

Пакет plain-crypto-js появился в 23:59:12 UTC 30 марта, ранее его не существовало. Через две минуты были загружены заражённые версии Axios. Система Socket зафиксировала аномалию в 00:05:41. От появления дроппера до загрузки инфицированного пакета прошло 5 минут.

Вредонос запускается автоматически через хук postinstall при выполнении npm install. Код определяет операционную систему и загружает инструкции. На Windows файлы размещаются в ProgramData, на Linux и macOS — в темповые директории. Вредонос вписывается в конфигурации шелла, затем удаляет сам себя и очищает package.json.

Все строки зашифрованы через реверс, base64 и XOR с ключом OrDeR_7077. Так скрыты имена модулей, адрес C2-сервера и команды. Вредонос обращается к sfrclak.com с IP 142.11.206.73 через порт 8000 и передаёт переменные окружения: ключи AWS, пароли баз, API-токены. Данные уходят на поддельный packages.npm.org, который маскируется под официальный registry.npmjs.org.

Исследователи нашли новую версию бэкдора WAVESHAPER.V2. Предыдущий вариант группа UNC1069 использовала с 2018 года для атак на криптовалютные компании. Обновлённая версия перешла на JSON и получила больше функций. Специалисты Elastic Security Labs установили, что она взаимосвязана с предыдущей.

На macOS вредонос через AppleScript загружает бинарный файл в директорию с именем, маскирующимся под системные демоны Apple. Джо Десимоне из Elastic Security разобрал компонент — это RAT на C++, который каждые 60 секунд отправляет данные о системе. На Windows вредонос копирует PowerShell в wt.exe, имитируя Windows Terminal. На Linux curl загружает скрипт на Python и запускает его в фоновом режиме.

Версию 1.14.1 злоумышленники загрузили в npm, минуя GitHub. Это означает, что либо у атакующих были данные аутентификации npm, либо они получили доступ к CI/CD-токену. Доступ тестировщиков к пакету оказался заблокированным, то есть права атакующих были выше.

Специалисты нашли ещё два заражённых пакета: @shadanai/openclaw и @qqbrowser/openclaw-qbot. Команда Axios признала инцидент. Проблема заключается в одновременном использовании режима доверенной публикации и старого npm-токена.

На момент публикации скомпрометированные версии уже удалены. Под удар попали те, кто установил обновления продукта до 1.14.1 или 0.30.4, а также пользователи, библиотеки которых автоматически получили заражённую версию. Исходный код Axios безопасен, так как атака была направлена на распространение.