![\"Der](\"\/wp-content\/uploads\/2026\/03\/6cdefb89ca7de49c39d4dd328f495d0b.png\")
<\/p>\nAngreifer konnten das Konto des Betreuers \u00fcbernehmen und zwei sch\u00e4dliche NPM-Paketversionen von axios ver\u00f6ffentlichen, einem HTTP-Client f\u00fcr Browser und Node.js. Das Paket axios hat mehr als 100 Millionen Downloads pro Woche und wird als Abh\u00e4ngigkeit von 174.000 anderen Paketen verwendet. Die sch\u00e4dlichen \u00c4nderungen wurden in die Releases von Axios 1.14.1 und 0.30.4 integriert, indem eine gef\u00e4lschte Abh\u00e4ngigkeit plain-crypto-js 4.2.1 eingef\u00fcgt wurde, die Code zum Herunterladen von Komponenten enth\u00e4lt, die Befehle von einem Steuerungserver der Angreifer empfangen. Die sch\u00e4dlichen Releases wurden am 31. M\u00e4rz fast 3 Stunden lang - von 03:21 bis 06:15 (MSK) - zum Download angeboten. <\/p>\n
Die sch\u00e4dlichen Versionen wurden direkt in NPM mit den Anmeldedaten des Hauptbetreuers des axios-Projekts (\"jasonsaayman\") ver\u00f6ffentlicht, um den regul\u00e4ren Ver\u00f6ffentlichungsmechanismus \u00fcber GitHub Actions zu umgehen. Es wird vermutet, dass die Angreifer das NPM-Zugriffstoken des Betreuers erlangten, sich dann in das Konto einloggten und die E-Mail-Bindung \u00e4nderten. Wie genau das Zugriffstoken abgefangen wurde, bleibt unklar. <\/p>\n
Der ausgef\u00fchrte sch\u00e4dliche Code wurde im Paket plain-crypto-js in der Datei setup.js platziert, aktiviert sich nach der Installation des NPM-Pakets \u00fcber den postinstall-Handler ('postinstall: \"node setup.js\"') und wurde verwendet, um einen Trojaner herunterzuladen und zu installieren, der Systeme unter Windows, macOS und Linux angreift. Um seine Pr\u00e4senz nach dem Start zu verbergen, l\u00f6schte die sch\u00e4dliche Komponente die Datei setup.js und ersetzte package.json durch eine Version ohne postinstall-Hook. <\/p>\n
Unter macOS wurde die sch\u00e4dliche ausf\u00fchrbare Datei als '\/Library\/Caches\/com.apple.act.mond' heruntergeladen, unter Windows - '%PROGRAMDATA%\\wt.exe', und unter Linux - '\/tmp\/ld.py'. Nach der Aktivierung unter Linux und macOS sendet sie alle 60 Sekunden Daten nach au\u00dfen. Server<\/a> B\u00f6sartige Aktivit\u00e4ten unter Linux und macOS sahen keine Speicherung der Anwesenheit nach einem Neustart vor und waren darauf ausgelegt, schnell sensible Daten, Passw\u00f6rter, Token und Zugriffsschl\u00fcssel zu sammeln. Unter Windows wurde eine Datei \u201e%PROGRAMDATA%\\system.bat\u201c erstellt, die bei jedem Anmelden im System die b\u00f6sartige Komponente von den Angreifern abgerufen hat. <\/p>\n Die sch\u00e4dliche Aktivit\u00e4t unter Linux und macOS war nicht darauf ausgelegt, nach einem Neustart persistent zu bleiben, sondern zielte darauf ab, schnell vertrauliche Daten, Passw\u00f6rter, Tokens und Zugangsschl\u00fcssel zu sammeln. Unter Windows wurde eine Datei '%PROGRAMDATA%\\system.bat' erstellt, die die sch\u00e4dliche Komponente extrahierte. Server<\/a> Angreifende bei jedem Systemzugang. \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0441\u043c\u043e\u0433\u043b\u0438 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0438\u0442\u044c \u0443\u0447\u0451\u0442\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0438 \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0434\u0432\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u0430 NPM-\u043f\u0430\u043a\u0435\u0442\u0430 axios, \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0449\u0435\u0433\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e HTTP-\u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u0438 Node.js. \u041f\u0430\u043a\u0435\u0442 axios \u043d\u0430\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u0435\u0442 \u0431\u043e\u043b\u0435\u0435 100 \u043c\u043b\u043d \u0437\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0432 \u043d\u0435\u0434\u0435\u043b\u044e \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u0443 174 \u0442\u044b\u0441\u044f\u0447 \u0434\u0440\u0443\u0433\u0438\u0445 \u043f\u0430\u043a\u0435\u0442\u043e\u0432. \u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u0431\u044b\u043b\u0438 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u044b \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0438 Axios 1.14.1 \u0438 0.30.4 \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0443 \u0444\u0438\u043a\u0442\u0438\u0432\u043d\u043e\u0439 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 plain-crypto-js 4.2.1, […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":166952,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-166951","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47NPM-Paket axios kompromittiert, mit 100 Millionen Downloads pro Woche | ProHoster","description":"Die Angreifer konnten das Konto des Betreuers \u00fcbernehmen und zwei sch\u00e4dliche Versionen des NPM-Pakets axios ver\u00f6ffentlichen, das eine Implementierung eines HTTP-Clients f\u00fcr Browser und Node.js anbietet.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/skomprometirovan-npm-paket-axios-imeyushhij-100-mln-zagruzok-v-nedelyu","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d NPM-\u043f\u0430\u043a\u0435\u0442 axios, \u0438\u043c\u0435\u044e\u0449\u0438\u0439 100 \u043c\u043b\u043d \u0437\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0432 \u043d\u0435\u0434\u0435\u043b\u044e | ProHoster","og:description":"\u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0438 \u0441\u043c\u043e\u0433\u043b\u0438 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0438\u0442\u044c \u0443\u0447\u0451\u0442\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0438 \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u0434\u0432\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u0432\u044b\u043f\u0443\u0441\u043a\u0430 NPM-\u043f\u0430\u043a\u0435\u0442\u0430 axios, \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0449\u0435\u0433\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e HTTP-\u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u0438 Node.js.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/skomprometirovan-npm-paket-axios-imeyushhij-100-mln-zagruzok-v-nedelyu","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-03-31T21:11:57+00:00","article:modified_time":"2026-03-31T21:11:57+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/166951","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=166951"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/166951\/revisions"}],"predecessor-version":[{"id":173154,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/166951\/revisions\/173154"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/166952"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=166951"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=166951"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=166951"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"