Los desarrolladores confían en él para realizar solicitudes HTTP en aplicaciones web y de backend. Debido a lo ampliamente que es utilizado y desplegado en innumerables proyectos, un cambio dirigido dentro de incluso una de sus versiones es suficiente para afectar a miles de organizaciones, pipelines de construcción automatizados y entornos de producción en vivo al mismo tiempo.

 Analistas de Microsoft Threat Intelligence identificaron la infraestructura detrás de este ataque y la vincularon a Sapphire Sleet, un grupo de amenazas patrocinado por el estado norcoreano activo desde al menos marzo de 2020. El grupo se enfoca principalmente en objetivos financieros, incluyendo intercambios de criptomonedas, firmas de capital de riesgo y organizaciones blockchain, con el objetivo principal de robar activos digitales y datos financieros. El grupo también es conocido por usar plataformas como LinkedIn para contactar a posibles objetivos, dirigiéndolos hacia archivos maliciosos alojados en servicios de almacenamiento en la nube controlados por los atacantes. El ataque funcionó inyectando una falsa dependencia llamada plain-crypto-js@4.2.1 en las dos versiones comprometidas de Axios. Esta dependencia ejecutaba silenciosamente un script post-instalación que se conectaba a un servidor de comando y control (C2) y descargaba un troyano de acceso remoto (RAT) de segunda etapa. 

 La carga maliciosa estaba adaptada para cada sistema operativo, con versiones específicas para Windows, macOS y Linux, asegurando un amplio alcance sin importar el entorno utilizado. Lo que hizo este ataque especialmente peligroso fue cómo convirtió el comportamiento de actualización automática integrado en npm en un mecanismo de entrega. Cualquier proyecto configurado para extraer automáticamente actualizaciones menores o de parches para Axios resolvería silenciosamente la versión comprometida durante una instalación o actualización rutinaria, ejecutando la cadena maliciosa sin requerir pasos adicionales por parte del desarrollador.

Inyección silenciosa de dependencias: cómo el ataque pasó desapercibido

En lugar de alterar el código fuente propio de Axios, el atacante incrustó plain-crypto-js como una nueva dependencia que solo se activaba durante la instalación. Cuando un desarrollador ejecutaba npm install, o cuando un pipeline de CI/CD desencadenaba una construcción, el gestor de paquetes resolvía e instalaba automáticamente plain-crypto-js@4.2.1 en segundo plano. 

El script de ciclo de vida de ese paquete entonces lanzaba setup.js, un cargador de primera etapa que usaba múltiples capas de ofuscación para reconstruir cadenas sensibles en tiempo de ejecución antes de conectarse silenciosamente al servidor del atacante en hxxp://sfrclak[.]com:8000/6202033. Para evitar la detección temprana, el atacante primero publicó una versión limpia (plain-crypto-js@4.2.0) para construir un historial de publicación legítimo antes de introducir la actualización maliciosa 4.2.1. En Windows, setup.js dejaba caer un script VBS que desplegaba un RAT en PowerShell, creando persistencia a través de una clave de ejecución en el registro. 

En macOS, un binario nativo llamado com.apple.act.mond se colocaba silenciosamente dentro de la carpeta Library/Caches. En Linux, una carga útil en Python llamada ld.py se escribía en el directorio /tmp y se ejecutaba en segundo plano. Una vez que la carga útil de segunda etapa estaba en funcionamiento, setup.js se eliminaba a sí mismo e intercambiaba el manifiesto original del paquete por una copia de apariencia limpia, dificultando la inspección posterior al incidente. Microsoft Threat Intelligence ha delineado pasos claros para que las organizaciones afectadas actúen de inmediato. Todas las implementaciones de Axios deben revertirse a la versión 1.14.0 o 0.30.3, y cualquier secreto o credencial expuesto en sistemas comprometidos debe rotarse sin demora.

 Se recomienda a los desarrolladores eliminar los prefijos de intercalación (^) y tilde (~) de los archivos package.json y bloquear Axios a un número de versión exacto para evitar actualizaciones automáticas. Ejecutar npm cache clean --force limpiará cualquier paquete malicioso en caché. Las organizaciones también deben auditar los registros de CI/CD en busca de instalaciones de las versiones afectadas, verificar las máquinas de los desarrolladores en busca de la carpeta plain-crypto-js en los directorios node_modules, y bloquear el tráfico saliente hacia sfrclak[.]com y la dirección IP 142.11.206[.]73 en el puerto 8000. Herramientas automatizadas de dependencias como Dependabot o Renovate deben configurarse para restringir las actualizaciones de Axios hasta que la amenaza esté completamente resuelta.

Fuentes:
https://cybersecuritynews.com/microsoft-details-steps-to-mitigate-the-axios/