Kompromittierte axios npm-Pakete verbreiten Schadsoftware

Die weit verbreitete JavaScript-Bibliothek axios (HTTP-Client mit über 300 Millionen wöchentlichen Downloads auf npm) wurde durch kompromittierte Paketversionen als Angriffsvektor missbraucht. Über den gekaperten npm-Account eines Hauptentwicklers wurden zwei schadhafte Versionen veröffentlicht: [email protected] und [email protected]. Beide Versionen enthalten eine zusätzliche Abhängigkeit ([email protected]), die beim Installieren automatisch einen Remote Access Trojaner (RAT) für macOS, Windows und Linux nachlädt. Die schadhaften Versionen wurden mittlerweile von npm entfernt. Dieser Vorfall reiht sich in eine Serie von Supply-Chain-Angriffen auf Softwarepakete ein, über die wir bereits in einem CERT.at „Aktuelles“ zu Supply Chain Security im CI/CD-Umfeld (Angriffe auf Xygeni, Trivy, Checkmarx) berichtet haben. Beim Installieren der kompromittierten axios-Versionen wird über ein postinstall-Skript automatisch und ohne Benutzerinteraktion Kontakt zu einem Command-and-Control-Server (sfrclak.com:8000) hergestellt und ein plattformspezifischer RAT heruntergeladen und ausgeführt. Die Schadsoftware löscht sich nach der Ausführung weitgehend selbst und ersetzt ihre eigene Konfiguration d...