Slow Fog предупреждает разработчиков о вредоносной кампании с использованием malware axios

Компания Slow Fog сообщает о вредоносных версиях axios, которые содержат malware plain-crypto-js, подвергая крипто-разработчиков риску заражения кросс-платформенными RAT (Remote Access Trojan) и кражи учетных данных через npm.

Компания Slow Fog, специализирующаяся на безопасности блокчейн-технологий, выпустила срочное предупреждение о безопасности после того, как недавно опубликованные версии [email protected] и [email protected] содержали вредоносную зависимость [email protected], превратив один из самых широко используемых HTTP-клиентов JavaScript в инструмент для атак на цепочку поставок против крипто-разработчиков. Axios имеет более 80 миллионов загрузок в неделю на npm, что означает, что даже кратковременный компрометация может распространиться на кошельки, торговые боты, биржи и инфраструктуру DeFi, построенную на Node.js. В своем предупреждении Slow Fog предупредила, что "пользователи, установившие [email protected] с помощью npm install -g, потенциально подвержены риску", и рекомендовала немедленно сменить учетные данные и провести тщательное расследование на стороне хоста для выявления признаков компрометации.

Атака основана на поддельном пакете криптографии [email protected], который тихо добавляется в качестве новой зависимости и используется исключительно для выполнения замаскированного скрипта postinstall, который распространяет кросс-платформенного удаленного трояна, нацеленного на системы Windows, macOS и Linux.

Компания StepSecurity объяснила, что "ни одна из вредоносных версий не содержит ни одной строки вредоносного кода непосредственно в Axios", и что вместо этого "обе внедряют поддельную зависимость [email protected], единственная цель которой - запустить скрипт postinstall, который развертывает кросс-платформенного удаленного трояна (RAT)". Исследовательская группа Socket отметила, что вредоносный пакет plain-crypto-js был опубликован всего за несколько минут до скомпрометированной версии axios, назвав это "скоординированной атакой на цепочку поставок" против экосистемы JavaScript.

Аккаунт основного разработчика Axios был взломан

Согласно StepSecurity, вредоносные версии axios были опубликованы с использованием украденных учетных данных npm, принадлежащих основному разработчику "jasonsaayman", что позволило злоумышленникам обойти обычный процесс выпуска проекта на GitHub. "Это активная компрометация цепочки поставок в [email protected], которая теперь зависит от [email protected] - пакета, опубликованного всего несколько часов назад и идентифицированного как замаскированный malware, который выполняет команды оболочки и удаляет следы", - написал инженер по безопасности Julian Harris в LinkedIn. Компания npm удалила вредоносные версии и вернула разрешение axios обратно к версии 1.14.0, но любая среда, которая использовала версии 1.14.1 или 0.3.4 во время атаки, остается в зоне риска, пока учетные данные не будут изменены и системы не будут перестроены.

Этот инцидент перекликается с более ранними случаями, связанными с npm, которые напрямую нацелены на пользователей криптовалют, включая кампанию 2025 года, в которой 18 популярных пакетов, таких как chalk и debug, незаметно заменяли адреса кошельков для кражи средств, что побудило технического директора Ledger, Шарля Гиллемета, предупредить, что "затронутые пакеты были загружены более 1 миллиарда раз". Исследователи также задокументировали вредоносное ПО для npm, крадущее ключи из кошельков Ethereum, XRP и Solana, а SlowMist оценила, что взломы и мошенничество в сфере криптовалют, включая пакеты с бэкдорами и атаки на цепочку поставок с использованием искусственного интеллекта, привели к потерям более 2,3 миллиардов долларов только в первой половине 2025 года. В настоящее время Slow Fog дает прямое указание: понизьте версию axios до 1.14.0, проверьте зависимости на наличие следов [email protected] или openclaw, и предполагайте, что любые учетные данные, к которым имели доступ эти среды, скомпрометированы.

Предыдущие предупреждения о безопасности цепочки поставок программного обеспечения

В предыдущей статье crypto.news об атаках на цепочку поставок JavaScript, технический директор Ledger, Гиллемет, предупредил, что скомпрометированные пакеты npm, которые скачиваются более 2 миллиардов раз в неделю, представляют системный риск для dApps и кошельков, созданных на Node.js. В другой статье подробно рассказывалось о том, как северокорейская группа Lazarus Group размещала вредоносные пакеты npm для установки бэкдоров в среды разработчиков и для атак на пользователей кошельков Solana и Exodus. В третьей статье crypto.news о новом поколении вредоносного ПО было показано, как бэкдорные атаки на цепочку поставок через npm и недорогие инструменты искусственного интеллекта помогли преступникам удаленно контролировать более 4200 машин разработчиков и привели к потерям в миллиарды долларов в сфере криптовалют.