Slow Fog ja haitalliset Axios-julkaisut
Slow Fog tuo esiin haitalliset Axios-julkaisut, jotka sisältävät plain-crypto-js-haittaohjelmaa, altistaen kryptokehittäjät ristialustaisille etäyhteys troijalaisille (RAT) ja varastetuille tunnistetiedoille npm:n kautta. Blockchain-turvayritys Slow Fog on julkaissut kiireellisen turvallisuusmuistutuksen sen jälkeen, kun äskettäin julkaistut @axios/axios@1.14.1 ja @axios/axios@0.3.4 -versiot sisälsivät haitallisen riippuvuuden, plain-crypto-js, muuttaen yhden JavaScriptin käytetyimmistä HTTP-asiakkaista toimitusketjun hyökkäyksen kohteeksi kryptokehittäjiä vastaan.
Axiosin vaikutus ja varoitukset
Axiosilla on yli 80 miljoonaa viikoittaista latausta npm:ssä, mikä tarkoittaa, että jopa lyhytaikainen kompromissi voi vaikuttaa lompakkotaustoihin, kaupankäyntibotteihin, pörsseihin ja DeFi-infrastruktuuriin, joka on rakennettu Node.js:lle. Varoituksessaan Slow Fog huomautti, että
”käyttäjät, jotka asensivat
@axios/axios@1.14.1npm install -g:n kautta, ovat mahdollisesti alttiita,”
ja suositteli välitöntä tunnistetietojen vaihtoa sekä perusteellista isäntäpuolen tutkimusta mahdollisten kompromissien merkkien varalta.
Hyökkäyksen mekanismi
Hyökkäys perustuu vale kryptografiapakettiin, plain-crypto-js, joka lisätään hiljaa uutena riippuvuutena ja jota käytetään ainoastaan obfuskoidun postinstall-skriptin suorittamiseen, joka pudottaa ristialustaisen etäyhteys troijalaisen, joka kohdistuu Windows-, macOS- ja Linux-järjestelmiin. Turvayritys StepSecurity selitti, että
”kumpikaan haitallinen versio ei sisällä yhtään haitallista koodiriviä itse Axiosissa,”
ja että sen sijaan
”molemmat injektoivat vale riippuvuuden,
plain-crypto-js, jonka ainoa tarkoitus on suorittaa postinstall-skripti, joka ottaa käyttöön ristialustaisen etäyhteys troijalaisen (RAT).”
Toimenpiteet ja tulevaisuuden riskit
npm on nyt poistanut haitalliset versiot ja palauttanut Axiosin version takaisin 1.14.0:aan, mutta mikä tahansa ympäristö, joka latasi 1.14.1 tai 0.3.4 hyökkäysikkunan aikana, on edelleen vaarassa, kunnes salaisuudet on vaihdettu ja järjestelmät on rakennettu uudelleen. Kompromissi heijastaa aikaisempia npm-tapauksia, jotka kohdistuivat suoraan kryptokäyttäjiin, mukaan lukien 2025 kampanja, jossa 18 suosittua pakettia, kuten chalk ja debug, vaihtoivat hiljaa lompakkosoitteita varastamaan varoja.
Yhteenveto ja suositukset
Tällä hetkellä Slow Fogn neuvot ovat selkeät: alenna Axios versioksi 1.14.0, tarkista riippuvuudet mahdollisten jälkien varalta plain-crypto-js tai openclaw, ja oletetaan, että kaikki tunnistetiedot, joita on käsitelty näissä ympäristöissä, ovat vaarantuneet. Aiemmassa crypto.news -artikkelissa JavaScriptin toimitusketjun hyökkäyksistä Ledgerin Guillemet varoitti, että vaarantuneet npm-paketit, joilla on yli 2 miljardia viikoittaista latausta, muodostavat systeemisen riskin dAppseille ja lompakoille, jotka on rakennettu Node.js:lle.
