Biblioteca Axios atingida por ataque de cadeia de suprimentos, pacotes maliciosos afetam 80% dos ambientes em nuvem

ChainCatcher relata que o atacante roubou o token de acesso npm do principal mantenedor da biblioteca HTTP mais popular em JavaScript, o Axios, e usou esse token para publicar duas versões maliciosas contendo um Trojan de acesso remoto multiplataforma (RAT) — axios@1.14.1 e axios@0.3.4 — visando sistemas macOS, Windows e Linux. Os pacotes maliciosos permaneceram no registro npm por cerca de 3 horas antes de serem removidos. Segundo dados da empresa de segurança Wiz, o Axios tem mais de 100 milhões de downloads semanais e está presente em aproximadamente 80% dos ambientes em nuvem e de código. A empresa de segurança Huntress detectou as primeiras infecções apenas 89 segundos após o lançamento do pacote malicioso e confirmou, durante a janela de exposição, pelo menos 135 sistemas comprometidos. É importante notar que o projeto Axios já havia implementado medidas modernas de segurança, como o mecanismo de publicação confiável OIDC e a prova de rastreabilidade SLSA, mas o atacante contornou completamente essas proteções. A investigação descobriu que, embora o projeto tivesse configurado o OIDC, ainda mantinha um NPM_TOKEN tradicional de longa duração, e o npm, por padrão, prioriza o token tradicional quando ambos coexistem, permitindo que o atacante publicasse sem precisar contornar o OIDC.