📦 Что произошло с банками — пока не знаем. Зато можем рассказать о вредоносном коде в Axios

В последний день марта стало известно об атаке на одну из самых популярных JavaScript-библиотек — Axios. Это HTTP-клиент с более чем 100 млн загрузок в неделю из npm — сервиса распространения программных модулей для разработчиков.

Злоумышленник скомпрометировал аккаунт главного специалиста, ответственного за развитие и работоспособность IT-проекта — мейнтейнера — и опубликовал две вредоносные версии пакета, содержащие троян удаленного доступа (RAT). Инцидент обнаружили исследователи StepSecurity.

🔎 Подробностями делится Владимир Кочетков, руководитель исследований AppSec в Positive Technologies.

Атакующий получил доступ к npm-аккаунту мейнтейнера jasonsaayman, сменил привязанный email и опубликовал версии axios@1.14.1 и axios@0.30.4 напрямую в npm — минуя CI/CD-пайплайн и GitHub. Именно поэтому зараженные релизы не появились среди тегов репозитория на GitHub, что стало одним из первых признаков подмены.

В обе версии была добавлена фантомная зависимость plain-crypto-js@4.2.1 — пакет-обманка, маскирующийся под легитимную библиотеку crypto-js с идентичным описанием и ссылкой на оригинальный репозиторий. Эта зависимость нигде не импортировалась в исходном коде Axios. Ее единственное назначение — выполнить postinstall-скрипт setup.js при установке пакета.

👾 Как работает вредоносная нагрузка

Скрипт setup.js использовал двухслойную обфускацию (XOR-шифр с ключом OrDeR_7077 и base64). После деобфускации он обращался к C2-серверу sfrclak.com и загружал платформенно-специфичный RAT:

🍏 macOS — бинарник маскировался под системный процесс Apple и размещался в /Library/Caches/com.apple.act.mond

🖥 Windows — через VBScript и PowerShell разворачивался исполняемый файл wt.exe в %PROGRAMDATA% с механизмом персистентности

🖥 Linux — Python-бэкдор сохранялся во временной директории /tmp/ld.py

После выполнения вредоносный модуль зачищал следы: удалял собственные файлы, а package.json подменял на «чистую» заглушку с номером версии 4.2.0 вместо 4.2.1 — намеренное расхождение для затруднения расследования.

😵 Масштаб и последствия

Вредоносные версии были доступны в npm менее трех часов — axios@1.14.1 около 2 часов 53 минут, axios@0.30.4 около 2 часов 15 минут. Тем не менее любой проект, в котором зависимость была указана как ^1.14.0 или ^0.30.0, мог автоматически установить зараженную версию при сборке. А учитывая 100 млн загрузок Axios в неделю, потенциальный охват атаки огромен. По данным Malwarebytes, любой CI/CD-процесс, запустивший установку с включенными скриптами, мог привести к утечке всех инжектированных секретов.

Что важно: конечные пользователи браузерных приложений напрямую не затронуты — заражение происходило на этапе установки и сборки, а не в рантайме приложения.

🛡 Как защититься

✅ Проверьте lock-файлы (package-lock.json, yarn.lock) на наличие axios@1.14.1, axios@0.30.4 или plain-crypto-js@4.2.1. Обратите внимание, что npm audit может не выявить компрометацию — вредонос зачищает следы после установки.

✅ Если вредоносные версии обнаружены — откатитесь к безопасным axios@1.14.0 или axios@0.30.3, а затронутые машины (локальные и CI/CD-раннеры) считайте потенциально скомпрометированными.

✅ Ротируйте все секреты: API-ключи, облачные токены, deploy-ключи, npm-токены — все, к чему мог получить доступ вредоносный процесс.

✅ Проверьте наличие IoCs: сетевые обращения к sfrclak.com (IP 142.11.206.73, порт 8000) и характерные файлы на диске.

🧑‍🏫 Уроки для разработчиков

Этот инцидент — очередное напоминание о том, что без AppSec-инструментов под реальной угрозой оказываются качество кода и его защищенность. Одного скомпрометированного аккаунта мейнтейнера достаточно для внедрения вредоносного кода в проекты по всему миру.

Для снижения рисков стоит использовать фиксированные версии зависимостей вместо диапазонов, включить двухфакторную аутентификацию (2FA) на npm, применять --ignore-scripts при установке пакетов и мониторить изменения зависимостей специализированными инструментами — SCA-анализаторами.

@Positive_Technologies

📱 Как приручить защитить свое Android-приложение

Задачка не самая простая, учитывая, что отреверсить, то есть взломать, его можно довольно просто. При помощи бесплатных инструментов декомпиляции злоумышленник может получить код, близкий к исходному. Останется лишь запустить сканер статического анализа — и вуаля: все возможные уязвимости как на ладони.

💪 Но нам есть, что противопоставить взломщикам. Наши эксперты написали для Positive Research статью, в которой на примере 94 (!) популярных в России приложений показали, как работает наш облачный протектор PT MAZE, скрывая уязвимости и выстраивая механизмы защиты.

Если говорить про до и после, эффект налицо: после применения протектора общее число уязвимостей, обнаруженных с помощью сканера MobSF, сократилось на 40%. А при должной настройке этот показатель можно довести до 100%.

👉 Как это работает (с подробностями и графиками), читайте в материале на сайте нашего медиа.

#PTMAZE #PositiveResearch
@Positive_Technologies

Однодневные киберучения Standoff для бизнеса ⚡️

Представьте: перед вашей машиной внезапно возникает препятствие. У вас доля секунды на маневр — и только отточенные навыки помогут его выполнить. В кибербезопасности так же: знать и успеть среагировать — это разные вещи.

🔥 Сегодня мы запускаем киберучения Standoff — однодневный аудит зрелости команды защиты.

Тренировки помогут отточить навыки и наладить быстрое взаимодействие внутри. Они построены на ретроспективном анализе реальных атак: в отличие от синтетических сценариев, наш продукт показывает, как команда действует в условиях, максимально приближенных к реальной атаке, когда счет идет на минуты.

Доступны два формата — стандартный и продвинутый — для специалистов с разным уровнем подготовки. По итогу киберучений вы будете уверены, что ваша команда сможет эффективно действовать в условиях неполной информации и дефицита времени.

Все подробности — на сайте.

#Standoff
@Positive_Technologies