I malintenzionati sono riusciti a intercettare l'account del maintainer e a pubblicare due versioni malevole del pacchetto NPM axios, che offre un'implementazione del client HTTP per browser e Node.js. Il pacchetto axios conta oltre 100 milioni di download alla settimana ed Ăš utilizzato come dipendenza da 174 mila altri pacchetti. Le modifiche malevole sono state integrate nelle versioni Axios 1.14.1 e 0.30.4 tramite un'iniezione di una dipendenza fittizia plain-crypto-js 4.2.1, contenente codice per scaricare componenti che ricevono comandi dal server di comando dei malintenzionati. Le versioni malevole sono state offerte per il download il 31 marzo per quasi 3 ore â dalle 03:21 alle 6:15 (MSK).
Le versioni malevole sono state caricate in NPM direttamente utilizzando le credenziali del principale maintainer del progetto axios (âjasonsaaymanâ) eludendo il consueto meccanismo di pubblicazione di nuove versioni basato su GitHub Actions. Si suppone che gli aggressori siano riusciti a intercettare il token di accesso a NPM del maintainer, successivamente accedendo all'account e cambiando l'associazione all'email. Come sia stato intercettato il token di accesso non viene specificato.
Il codice malevolo in esecuzione era contenuto nel pacchetto plain-crypto-js nel file setup.js, si attivava dopo il completamento dell'installazione del pacchetto NPM tramite il gestore postinstall (âpostinstall: «node setup.js»â) ed era utilizzato per scaricare e installare un trojan che colpiva sistemi Windows, macOS e Linux. Per nascondere la propria presenza dopo l'esecuzione, il componente malevolo cancellava il file setup.js e sostituiva package.json con una versione priva del gancio postinstall. 
Su macOS, il file eseguibile malevolo veniva caricato come «/Library/Caches/com.apple.act.mond», su Windows come «%PROGRAMDATA%\wt.exe», su Linux come «/tmp/ld.py». Dopo l'attivazione su Linux e macOS, ogni 60 secondi contattava un server esterno. server Non prevedeva il mantenimento della presenza dopo il riavvio ed era concepita per una rapida raccolta di dati riservati, password, token e chiavi di accesso. Su Windows veniva creato un file «%PROGRAMDATA%\system.bat», che estraeva il componente malevolo dagli aggressori ad ogni accesso al sistema.
L'attivitĂ malevola su Linux e macOS non prevedeva la persistenza dopo il riavvio ed era progettata per una rapida raccolta di dati riservati, password, token e chiavi di accesso. Su Windows veniva creato un file «%PROGRAMDATA%\system.bat», che estraeva il componente malevolo con server Non prevedeva il mantenimento della presenza dopo il riavvio ed era concepita per una rapida raccolta di dati riservati, password, token e chiavi di accesso. Su Windows veniva creato un file «%PROGRAMDATA%\system.bat», che estraeva il componente malevolo dagli aggressori ad ogni accesso al sistema.
Fonte: opennet.ru
