Axios: Compromittering van npm-pakket

The numbers

Op 31 maart 2026 zijn twee versies van het populaire axios npm-pakket, namelijk [email protected] en [email protected], kwaadaardig gepubliceerd op de npm-website. Deze aanval werd uitgevoerd via een gecompromitteerde onderhoudersaccount van axios, wat de reikwijdte van de aanval aanzienlijk vergrootte.

De kwaadaardige versies installeren een cross-platform Remote Access Trojan (RAT) op macOS, Windows en Linux. Dit betekent dat systemen die deze versies hebben geïnstalleerd, potentieel in gevaar zijn. “Wie [email protected] of [email protected] heeft geïnstalleerd, moet ervan uitgaan dat het systeem gecompromitteerd is,” aldus experts.

De aanvaller wijzigde het e-mailadres van het gecompromitteerde account naar een anoniem ProtonMail-adres, wat het moeilijker maakt om de dader te traceren. De kwaadaardige afhankelijkheid die werd geïnjecteerd, is genaamd [email protected]. Dit pakket bevat een post-installatiescript dat niet deel uitmaakt van de originele axios-broncode en fungeert als een RAT-dropper.

Het dropper-script voert opruimstappen uit na de uitvoering om detectie te vermijden. Dit maakt het voor ontwikkelaars nog moeilijker om de schade te beoordelen. De aanval was zorgvuldig voorbereid, met een pre-staging periode van 18 uur voordat de kwaadaardige versies van axios werden gepubliceerd.

De kwaadaardige versies werden handmatig gepubliceerd, waarmee de normale CI/CD-processen werden omzeild. Dit wijst op een goed doordachte strategie van de aanvaller. Bovendien publiceerde de aanvaller een schone versie van de afhankelijkheid [email protected] om een publicatiegeschiedenis op te bouwen, wat de aanval verder legitimeerde.

Met meer dan 300 miljoen wekelijkse downloads van axios is de potentiële reikwijdte van deze aanval enorm. StepSecurity bevestigde de werking van de malware via runtime-analyse met hun Harden-Runner-tool, wat de ernst van de situatie onderstreept.

Het is belangrijk voor ontwikkelaars om hun systemen te controleren en te verifiëren of ze getroffen zijn door deze aanval. Details blijven onbevestigd, maar de impact van deze compromittering kan verstrekkende gevolgen hebben voor de software-ecosystemen die afhankelijk zijn van axios.