Компрометація популярного npm‑пакета Axios виявилася не поодинокою подією, а частиною масштабної цілеспрямованої кампанії проти мейнтейнерів ключових проєктів екосистеми Node.js. Звіт основного мейнтейнера Axios Джейсона Сааймена та технічний аналіз компанії Socket демонструють добре сплановану операцію, що поєднує соціальну інженерію, компрометацію робочих станцій та спробу отруєння ланцюга постачання програмного забезпечення.
Як зламали Axios: сценарій атаки крок за кроком
На минулому тижні зловмисники перехопили обліковий запис мейнтейнера Axios і опублікували дві шкідливі версії пакета — 1.14.1 та 0.30.4. Під час встановлення ці релізи завантажували та запускали remote access trojan (RAT), ідентифікований як WAVESHAPER.V2, відкриваючи атакувальникам віддалений доступ до машин розробників.
Атака почалася із імітації реальної компанії. Зловмисники ретельно відтворили бренд відомої організації та запросили Сааймена до нібито легітимного Slack‑простору. Усередині були канали з «новинами» з LinkedIn, профілі «співробітників», фейкові мейнтейнери інших open source‑проєктів — усе це створювало враження справжнього корпоративного середовища.
Ключовим етапом став запланований відеодзвінок у Microsoft Teams. Під час підключення Сааймен побачив правдоподібне повідомлення про помилку: начебто клієнт Teams застарів і потребує термінового оновлення. Запропонований «апдейтер» насправді виявився RAT, який дозволив атакувальникам отримати доступ до npm‑креденшіалів та опублікувати троянізовані версії Axios.
UNC1069 та тактика фейкових відеодзвінків
За інформацією Google Threat Intelligence Group, інцидент із Axios узгоджується з активністю групи UNC1069, яка, за відкритими даними, має фінансову мотивацію та пов’язується з КНДР. Характерна риса цієї групи — використання фальшивих помилок під час відеодзвінків із подальшою пропозицією встановити «оновлення» для Zoom, Teams чи іншого клієнта відеоконференцій.
Подібні сценарії раніше фіксували аналітики Huntress та «Лабораторії Касперського»: жертві демонструють нібито технічний збій, після чого наполегливо пропонують завантажити «патч» або «оновлений клієнт». Фактично ж інсталюється шкідливе ПЗ типу RAT, що надає зловмиснику повний контроль над робочою станцією розробника.
Цілеспрямовані атаки на мейнтейнерів npm та Node.js
Дослідження Socket показує, що Axios — лише один із пріоритетних об’єктів. Низка мейнтейнерів із екосистеми Node.js незалежно повідомили про спроби компрометації за тим самим шаблоном: вихід на контакт через LinkedIn або Slack, запрошення до заздалегідь підготовленого робочого простору, далі — відеодзвінок і фейкове повідомлення про помилку з пропозицією встановити «виправлення».
Серед підтверджених цілей: мейнтейнер ECMAScript‑полифілів Джордан Харбанд (Jordan Harband), автор Lodash Джон‑Девід Долтон (John-David Dalton), мейнтейнер Fastify та Undici Маттео Колліна (Matteo Collina), автор dotenv Скотт Мотт (Scott Motte), мейнтейнер Mocha Пелле Вессман (Pelle Wessman), а також інженери самої Socket.
Показовий приклад Вессмана: його запросили нібито на запис подкасту через підроблену версію платформи Streamyard. Коли він відмовився запускати запропонований застосунок, зловмисники спробували домогтися виконання curl-команди безпосередньо в терміналі. Після чергової відмови всі повідомлення оперативно видалили, що свідчить про добре відпрацьований сценарій атаки.
Схожий епізод описує контриб’ютор Node.js core та Express Жан Бурельє (Jean Burellier): звернення «від імені» компанії Openfort, два Slack‑воркспейси та фейковий дзвінок у Teams із вимогою «оновити Teams SDK».
Чому 2FA та OIDC не рятують при зламі робочої станції
CEO Socket Феросс Абукхадіє (Feross Aboukhadijeh) наголошує: коли на машині розробника вже працює RAT, двохфакторна автентифікація (2FA) та публікація через OIDC самі по собі не гарантують безпеку. Зловмисник отримує доступ до файлів на кшталт .npmrc, активних сесій браузера, локальних сховищ ключів (keychain) та токенів доступу, які можна використати для випуску нових шкідливих релізів.
Після інциденту Сааймен повністю переглянув свою модель безпеки: виконав повний скидання пристроїв, змінив усі облікові дані, увів immutable‑релізи (релізи, які неможливо перезаписати), перейшов на OIDC‑публікацію та оновив конфігурації GitHub Actions відповідно до актуальних практик DevSecOps.
Практичні рекомендації для розробників та компаній
Поточна кампанія проти мейнтейнерів npm демонструє системний тренд: фокус атак зміщується від інфраструктури до розробників і ланцюга постачання ПЗ. Навіть жорсткі політики доступу до репозиторіїв і реєстрів неефективні, якщо компрометовано робочий хост мейнтейнера.
1. Гігієна комунікацій та виявлення соціальної інженерії
Не слід запускати бінарні файли чи скрипти, отримані через LinkedIn, Slack або під час відеодзвінків. Будь‑які пропозиції «оновити Zoom/Teams/SDK» у межах співбесіди чи подкасту мають розглядатися як потенційний індикатор атаки. Варто перевіряти домени, лінки та профілі, використовувати окремі акаунти для публічної комунікації.
2. Поділ середовищ і мінімізація збитків
Рекомендовано використовувати окремі робочі станції, віртуальні машини чи виділені контейнерні середовища для публікації пакетів у npm та роботи з критичними репозиторіями. Такий поділ зменшує наслідки компрометації основного робочого місця.
3. Моніторинг, аудит та інструменти supply chain‑захисту
Важливо впровадити логування дій у CI/CD‑конвеєрах, контроль змін у релізах, використання інструментів для аналізу залежностей та моніторингу npm‑пакетів. Це дозволяє швидше виявляти аномальні версії, інжекцію шкідливого коду та нетипову активність облікових записів мейнтейнерів.
4. Навчання розробників і розбір реальних кейсів
Регулярні тренінги з протидії соціальній інженерії, розбір інциденту з Axios та подібних кейсів, а також чіткі процедури верифікації партнерів і «роботодавців» суттєво підвищують стійкість команд до цілеспрямованих атак.
Інцидент із компрометацією Axios переконливо показує: надійність сучасної екосистеми програмного забезпечення напряму залежить від інформаційної гігієни й захищеності розробників. Чим більш критичними є ваші бібліотеки та інфраструктурні інструменти, тим вищою є ймовірність стати мішенню скоординованої кампанії. Саме зараз доцільно переглянути процеси безпеки, відокремити середовища розробки та публікації, посилити моніторинг і освітні програми — аби наступний «фейковий відеодзвінок» не став точкою входу до масштабної supply chain‑атаки на вашу організацію чи спільноту.
