Експерт попереджає про критичну, що триває, атаку на ланцюг постачання на Axios

Згідно з Фероссом Абукадіже, співзасновником компанії Socket Security, наявна активна атака на ланцюг постачання в пакеті Axios, який є одним із найпопулярніших у npm.

NPM, або Node Package Manager, є найбільшим реєстром програмного забезпечення у світі, що містить понад два мільйони пакетів з відкритим вихідним кодом JavaScript, і є основою сучасної розробки Web3. Феросс зазначає, що остання версія [email protected] тепер включає пакет [email protected], який не існував до сьогодні, що свідчить про активну компрометацію.

Це класичний випадок шкідливого програмного забезпечення для установлення ланцюга постачання.

Axios має понад 100 мільйонів щотижневих завантажень, і кожна установка останньої версії наразі може бути скомпрометованою. Шкідливе програмне забезпечення може виконувати ряд дій, включаючи видалення та перейменування артефактів після виконання для знищення доказів, а також копіювання файлів навантаження до тимчасових директорій ОС і Windows ProgramData, виконання декодованих команд оболонки та інше. Експерт рекомендує розробникам, які використовують axios, терміново закріпити свої версії та перевірити свої файли блокувань, утримуючись від будь-яких оновлень на деякий час.