Am 31. März 2026 wurde einer der meistgenutzten npm-Pakete kompromittiert: Axios, eine JavaScript-HTTP-Client-Bibliothek mit rund 100 Millionen Downloads pro Woche. Die vergifteten Versionen axios@1.14.1 und axios@0.30.4 enthielten einen Remote-Access-Trojaner (RAT), der auf macOS, Windows und Linux funktioniert.
Wie der Angriff ablief
Die Angreifer übernahmen den npm-Account des Hauptmaintainers "jasonsaayman", änderten die hinterlegte E-Mail-Adresse auf ein anonymes ProtonMail-Konto und publizierten die infizierten Pakete manuell über die npm-CLI. Der reguläre CI/CD-Build-Prozess via GitHub Actions wurde komplett umgangen.
Statt den Axios-Code direkt zu manipulieren, fügten die Angreifer eine neue Abhängigkeit ein: "plain-crypto-js@4.2.1". Dieses Paket existierte ausschliesslich als Delivery-Mechanismus. Sein Post-Install-Script kontaktiert einen externen Server, lädt eine zweite Payload nach und installiert plattformspezifische Malware:
- macOS: Tarnt sich als System-Daemon
- Windows: Nutzt PowerShell für Persistenz
- Linux: Fällt auf eine Python-Backdoor zurück
Operationelle Raffinesse
Laut StepSecurity-CTO Ashish Kurmi war der Angriff präzise geplant: Die bösartige Abhängigkeit wurde 18 Stunden im Voraus platziert. Drei separate Payloads für drei Betriebssysteme waren vorgebaut. Beide Release-Branches wurden innerhalb von 39 Minuten infiziert. Alle Spuren waren auf Selbstzerstörung ausgelegt.
Zuordnung
Googles Threat Intelligence Group (GTIG) verknüpfte den Angriff mit UNC1069, einem mutmasslich nordkoreanischen Akteur. Der Angriff reiht sich in eine Serie von npm-Supply-Chain-Attacken ein, darunter die Shai-Hulud-Kampagnen von 2025.
Was Entwickler tun sollten
Wer axios@1.14.1 oder axios@0.30.4 installiert hat, sollte sein System als kompromittiert betrachten. Das bedeutet: Abhängigkeiten entfernen, Credentials rotieren, und in einigen Fällen Maschinen komplett neu aufsetzen.
Quellen: The Register (31.03.2026), StepSecurity Blog, Aikido Security Blog, Socket.dev, Google GTIG.