Un sofisticado ataque a la cadena de suministro ha afectado a Axios, uno de los clientes HTTP más utilizados en el ecosistema JavaScript, al introducir una dependencia transitiva maliciosa en el registro oficial de npm. Como componente crítico en frameworks frontend, microservicios backend y aplicaciones empresariales, Axios registra aproximadamente 83 millones de descargas semanales en npm.

Un sofisticado ataque a la cadena de suministro ha afectado a Axios, uno de los clientes HTTP más utilizados en el ecosistema JavaScript, al introducir una dependencia transitiva maliciosa en el registro oficial de npm.

Como componente crítico en frameworks frontend, microservicios backend y aplicaciones empresariales, Axios registra aproximadamente 83 millones de descargas semanales en npm.

El compromiso implica la publicación no autorizada de nuevas versiones de Axios que automáticamente incorporan plain-crypto-js@4.2.1, un paquete recién publicado confirmado por sistemas automatizados de detección de malware como portador de código malicioso.

Debido a la amplia integración de Axios en el desarrollo web moderno, el radio potencial de impacto de este envenenamiento de la cadena de suministro es excepcionalmente amplio, lo que exige la activación inmediata de protocolos de respuesta a incidentes por parte de los usuarios finales.

Según Socket, los actores de la amenaza ejecutaron este ataque rompiendo con los patrones estándar de lanzamiento del proyecto.

Normalmente, los mantenedores de Axios publican versiones etiquetadas en GitHub al mismo tiempo que en npm. Sin embargo, las versiones comprometidas en npm no aparecen en los tags del repositorio oficial de GitHub.

Paquetes NPM de Axios comprometidos

En el momento del incidente, v1.14.0 seguía siendo el tag más reciente visible en GitHub, lo que indica que las actualizaciones maliciosas se subieron directamente al registro de npm fuera del pipeline de despliegue habitual.

Este bypass del control de versiones estándar sugiere un esfuerzo altamente coordinado para inyectar código malicioso de forma silenciosa. La dependencia con carga maliciosa, plain-crypto-js@4.2.1, se publicó en el registro el 30 de marzo de 2026 a las 23:59:12 UTC.

Minutos después de esta publicación, las versiones comprometidas de Axios se pusieron en línea. La detección automatizada de malware por parte de Socket marcó el paquete anómalo plain-crypto-js poco después, a las 00:05:41 UTC del 31 de marzo, destacando la rápida secuencia de ejecución diseñada para maximizar la infección antes de que las herramientas de seguridad pudieran reaccionar.

Para evadir la detección inmediata durante la fase inicial de infección, los atacantes introdujeron alteraciones mínimas en el código base principal de Axios. La única modificación fue añadir el paquete malicioso plain-crypto-js al árbol de dependencias.

Utilizar cambios pequeños y dirigidos es una táctica convencional y altamente efectiva en los ataques a la cadena de suministro. Este enfoque permite a los actores de amenazas ejecutar código arbitrario a través de dependencias transitivas mientras evitan el escrutinio que suele acompañar a modificaciones grandes en el código base o cambios lógicos.

Las investigaciones en los registros del registro revelan que el paquete malicioso está asociado con la cuenta de publicador de npm jasonsaayman. La aparición de esta cuenta en la cadena de dependencias comprometida plantea preocupaciones significativas sobre capacidades de publicación no autorizadas de paquetes.

Esto apunta hacia un posible secuestro de cuenta, credenciales de desarrollador comprometidas o un token de sesión robado que permitió a los atacantes autenticarse y publicar los artefactos maliciosos directamente en el registro de npm.

Los equipos de seguridad, ingenieros de DevOps y desarrolladores deben auditar inmediatamente sus cadenas de suministro de software para identificar y eliminar los componentes comprometidos. Los mantenedores de proyectos deben revisar a fondo los archivos de bloqueo de proyectos, gráficos de dependencias, ramas de características y solicitudes de extracción abiertas en busca de cualquier exposición a las versiones afectadas.

Si detectas alguna de estas versiones específicas de paquetes en tu entorno, es imperativo eliminarlas por completo o revertir tus dependencias a una versión segura conocida, como Axios 1.14.0, para evitar la ejecución del código inyectado.

Dado que este sigue siendo un incidente de seguridad activo y en rápida evolución, son necesarias la búsqueda continua de amenazas y la monitorización constante para determinar el alcance completo del compromiso y prevenir una mayor explotación.