Кошмар с атаками на supply chain продолжается. Теперь пришла очередь HTTP клиента Axios. Axios используется в виртуально каждом Node.js и браузерном приложении с HTTP-запросами — более 300 миллионов еженедельных загрузок. Злоумышленник захватил npm-аккаунт jasonsaayman, сменил email на анонимный ProtonMail-адрес и вручную опубликовал отравленные пакеты в обход обычного CI/CD-пайплайна проекта на GitHub Actions. Вредоносные версии не содержат ни строчки опасного кода внутри самого axios. Вместо этого в зависимости был внедрён пакет plain-crypto-js@4.2.1 — он не используется в коде axios нигде, а его единственная цель — запустить postinstall-скрипт, разворачивающий кросс-платформенный троян удалённого доступа (RAT) для macOS, Windows и Linux. Атака была тщательно подготовлена: вредоносная зависимость была размещена на npm за 18 часов до публикации заражённых релизов axios, три отдельных пейлоада были собраны заранее под три ОС, а обе релизных ветки (1.x и 0.x) были поражены в течение 39 минут. После запуска дроппер связывается с C2-сервером, доставляет платформо-специфичный пейлоад второго этапа, после чего удаляет себя и подменяет собственный package.json чистой версией-заглушкой. Если вы устанавливали axios@1.14.1 или axios@0.30.4 — считайте систему скомпрометированной. https://socket.dev/blog/axios-npm-package-compromised https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan @gostev_future