![\"NPM-Paket](\"\/wp-content\/uploads\/2026\/03\/6cdefb89ca7de49c39d4dd328f495d0b.png\")
<\/p>\nAngreifer konnten das Konto des Maintainers \u00fcbernehmen und zwei b\u00f6sartige NPM-Paketversionen von axios ver\u00f6ffentlichen, das eine HTTP-Client-Implementierung f\u00fcr Browser und Node.js anbietet. Das Paket axios z\u00e4hlt \u00fcber 100 Millionen Downloads pro Woche und wird als Abh\u00e4ngigkeit von 174.000 anderen Paketen verwendet. Schadhafte \u00c4nderungen wurden in die Versionen Axios 1.14.1 und 0.30.4 durch das Einf\u00fcgen einer gef\u00e4lschten Abh\u00e4ngigkeit plain-crypto-js 4.2.1 integriert, die Code zum Herunterladen von Komponenten enth\u00e4lt, die Befehle von einem Kontrollserver der Angreifer empfangen. Die b\u00f6sartigen Versionen wurden am 31. M\u00e4rz f\u00fcr fast 3 Stunden zum Download angeboten \u2014 von 03:21 bis 6:15 (MSK). <\/p>\n
Die b\u00f6sartigen Versionen wurden direkt in NPM mit den Anmeldeinformationen des Hauptmaintainers des axios-Projekts (\u201ejasonsaayman\u201c) ver\u00f6ffentlicht, wodurch der regul\u00e4re Mechanismus zur Ver\u00f6ffentlichung neuer Releases \u00fcber GitHub Actions umgangen wurde. Es wird vermutet, dass die Angreifer das NPM-Zugriffstoken des Maintainers \u00fcbernommen haben, danach in das Konto eingestiegen sind und die E-Mail-Zuordnung ge\u00e4ndert haben. Wie das Zugriffstoken \u00fcbernommen wurde, wird nicht spezifiziert. <\/p>\n
Der gestartete sch\u00e4dliche Code war im Paket plain-crypto-js in der Datei setup.js enthalten, aktivierte sich nach Abschluss der Installation des NPM-Pakets \u00fcber den postinstall-Handler ('postinstall: \u201enode setup.js\u201c') und wurde verwendet, um einen Trojaner zu laden und zu installieren, der Systeme mit Windows, macOS und Linux angreift. Um seine Anwesenheit nach dem Start zu verbergen, l\u00f6schte die Schadsoftware die Datei setup.js und ersetzte package.json durch eine Version ohne den postinstall-Hook. <\/p>\n
In macOS wurde die sch\u00e4dliche ausf\u00fchrbare Datei als \u201e\/Library\/Caches\/com.apple.act.mond\u201c geladen, in Windows als \u201e%PROGRAMDATA%\\wt.exe\u201c, in Linux als \u201e\/tmp\/ld.py\u201c. Nach der Aktivierung in Linux und macOS wurde alle 60 Sekunden nach au\u00dfen kommuniziert, der Server<\/a> Die b\u00f6sartige Aktivit\u00e4t unter Linux und macOS sah keine Persistenz nach einem Neustart vor und war darauf ausgelegt, schnell sensible Daten, Passw\u00f6rter, Tokens und Zugangsschl\u00fcssel zu sammeln. Unter Windows wurde eine Datei \u00ab%PROGRAMDATA%\\system.bat\u00bb erstellt, die die b\u00f6sartige Komponente extrahierte. <\/p>\n Die sch\u00e4dlichen Aktivit\u00e4ten in Linux und macOS sahen keine Speicherung der Pr\u00e4senz nach einem Neustart vor und waren auf die schnelle Erfassung vertraulicher Daten, Passw\u00f6rter, Tokens und Zugangsschl\u00fcssel ausgelegt. In Windows wurde eine Datei \u201e%PROGRAMDATA%\\system.bat\u201c erstellt, die die sch\u00e4dliche Komponente extrahierte. \u0441\u0435\u0440\u0432\u0435\u0440\u0430<\/a> Angreifer bei jeder Anmeldung. \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0441\u043c\u043e\u0433\u043b\u0438 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0438\u0442\u044c \u0443\u0447\u0451\u0442\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0438 \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0434\u0432\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u0430 NPM-\u043f\u0430\u043a\u0435\u0442\u0430 axios, \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0449\u0435\u0433\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e HTTP-\u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u0438 Node.js. \u041f\u0430\u043a\u0435\u0442 axios \u043d\u0430\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442 \u0431\u043e\u043b\u0435\u0435 100 \u043c\u043b\u043d \u0437\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0432 \u043d\u0435\u0434\u0435\u043b\u044e \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u0443 174 \u0442\u044b\u0441\u044f\u0447 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432. \u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0431\u044b\u043b\u0438 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u044b \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0438 Axios 1.14.1 \u0438 0.30.4 \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u043e\u0439 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 plain-crypto-js 4.2.1, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":166952,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-166951","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 NPM-Paket axios mit 100 Millionen Downloads pro Woche kompromittiert | ProHoster","description":"Angreifer konnten das Konto des Betreuers \u00fcbernehmen und zwei b\u00f6sartige Versionen des NPM-Pakets axios ver\u00f6ffentlichen, welches als HTTP-Client f\u00fcr Browser und Node.js dient. Das Paket axios hat w\u00f6chentliche 100 Millionen Downloads und wird als Abh\u00e4ngigkeit von 174.000 anderen Paketen genutzt. Die b\u00f6sartigen \u00c4nderungen wurden in die Versionen Axios 1.14.1 und 0.30.4 durch die Ersetzung einer gef\u00e4lschten Abh\u00e4ngigkeit plain-crypto-js 4.2.1 integriert.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/skomprometirovan-npm-paket-axios-imeyushhij-100-mln-zagruzok-v-nedelyu","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d NPM-\u043f\u0430\u043a\u0435\u0442 axios, \u0438\u043c\u0435\u044e\u0449\u0438\u0439 100 \u043c\u043b\u043d \u0437\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0432 \u043d\u0435\u0434\u0435\u043b\u044e | ProHoster","og:description":"\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0441\u043c\u043e\u0433\u043b\u0438 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0438\u0442\u044c \u0443\u0447\u0451\u0442\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0438 \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0434\u0432\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u0430 NPM-\u043f\u0430\u043a\u0435\u0442\u0430 axios, \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0449\u0435\u0433\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e HTTP-\u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u0438 Node.js. \u041f\u0430\u043a\u0435\u0442 axios \u043d\u0430\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442 \u0431\u043e\u043b\u0435\u0435 100 \u043c\u043b\u043d \u0437\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0432 \u043d\u0435\u0434\u0435\u043b\u044e \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u0443 174 \u0442\u044b\u0441\u044f\u0447 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432. \u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0431\u044b\u043b\u0438 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u044b \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0438 Axios 1.14.1 \u0438 0.30.4 \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u043e\u0439 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 plain-crypto-js 4.2.1,","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/skomprometirovan-npm-paket-axios-imeyushhij-100-mln-zagruzok-v-nedelyu","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-03-31T21:11:57+00:00","article:modified_time":"2026-03-31T21:11:57+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/166951","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=166951"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/166951\/revisions"}],"predecessor-version":[{"id":173154,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/166951\/revisions\/173154"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/166952"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=166951"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=166951"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=166951"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"