Der NPM-Paket axios, das 100 Millionen Downloads pro Woche hat, wurde kompromittiert.

Angreifer konnten das Konto des Betreuers übernehmen und zwei bösartige Versionen des NPM-Pakets axios veröffentlichen, das eine Implementierung eines HTTP-Clients für Browser und Node.js anbietet. Das axios-Paket verzeichnet mehr als 100 Millionen Downloads pro Woche und wird als Abhängigkeit von 174.000 anderen Paketen genutzt. Die bösartigen Änderungen wurden in die Versionen Axios 1.14.1 und 0.30.4 durch die Einschleusung einer gefälschten Abhängigkeit plain-crypto-js 4.2.1 integriert, die Code enthält, um Komponenten herunterzuladen, die Befehle vom Kontrollserver der Angreifer annehmen. Die bösartigen Versionen wurden am 31. März fast drei Stunden lang zum Download angeboten - von 03:21 bis 06:15 (MSK).

Die bösartigen Versionen wurden direkt in NPM unter Verwendung der Anmeldeinformationen des Hauptbetreuers des axios-Projekts („jasonsaayman“) veröffentlicht, um das standardmäßige Veröffentlichungsverfahren basierend auf GitHub Actions zu umgehen. Es wird angenommen, dass die Angreifer das NPM-Zugriffstoken des Betreuers abgefangen haben, bevor sie sich in das Konto einloggten und die E-Mail-Zuordnung änderten. Wie genau das Zugriffstoken abgefangen wurde, bleibt unklar.

Der ausgeführte bösartige Code war im Paket plain-crypto-js in der Datei setup.js enthalten, wurde nach Abschluss der Installation des NPM-Pakets über einen Postinstallationshandler (‚postinstall: „node setup.js“‘) aktiviert und diente dazu, einen Trojaner herunterzuladen und zu installieren, der Systeme mit Windows, macOS und Linux angreift. Um seine Präsenz zu verbergen, löschte die bösartige Komponente nach der Ausführung die Datei setup.js und ersetzte die package.json durch eine Version ohne Postinstall-Hook.

Unter macOS wurde die bösartige ausführbare Datei als „/Library/Caches/com.apple.act.mond“ heruntergeladen, unter Windows als „%PROGRAMDATA%\wt.exe“ und unter Linux als „/tmp/ld.py“. Nach der Aktivierung wurden unter Linux und macOS alle 60 Sekunden Befehle an die Angreifer zur Ausführung auf dem kompromittierten System gesendet, die verwendet werden konnten, um zusätzliche bösartige Komponenten herunterzuladen, willkürliche Shell-Befehle auszuführen und bestimmte Dateien zu suchen/zu senden. Server Bösartige Aktivitäten unter Linux und macOS sahen keine Speicherung der Anwesenheit nach einem Neustart vor und waren darauf ausgelegt, schnell sensible Daten, Passwörter, Token und Zugriffsschlüssel zu sammeln. Unter Windows wurde eine Datei „%PROGRAMDATA%\system.bat“ erstellt, die bei jedem Anmelden im System die bösartige Komponente von den Angreifern abgerufen hat.

die Angreifer bei jedem Anmelden im System. Server Angreifende bei jedem Systemzugang.

Quelle: opennet.ru