Axios נפרצה ב-npm: גרסאות זדוניות התקינו נוזקה, ו-Google מצביעה על צפון קוריאה
ב-31 במרץ 2026 תוקפים השתלטו על חשבון המתחזק של Axios ופרסמו שתי גרסאות עם נוזקה. לפי Google, מאחורי המתקפה עומדת קבוצה צפון קוריאנית.
TL;DR בקצרה
- ב-31 במרץ 2026 פורסמו ב-npm הגרסאות Axios 1.14.1 ו-0.30.4, ואיתן תלות זדונית בשם plain-crypto-js.
- הגרסאות היו זמינות כשלוש שעות, והתקינו על Windows, macOS ו-Linux נוזקת גישה מרחוק.
- לפי Google Threat Intelligence Group, מאחורי המתקפה הקבוצה UNC1069, שקשורה לצפון קוריאה.
- מי שהתקין את הגרסאות צריך להניח שהמחשב נפרץ, לבנות אותו מחדש ולהחליף כל סיסמה ומפתח.
ב-31 במרץ 2026 תוקפים פרסמו ב-npm שתי גרסאות זדוניות של Axios, ספריית ה-JavaScript הפופולרית לשליחת בקשות HTTP. לפי StepSecurity, Axios מורדת מעל 100 מיליון פעמים בשבוע. שתי הגרסאות, 1.14.1 ו-0.30.4, התקינו נוזקת גישה מרחוק על כל מחשב שהתקין אותן.
הגרסאות הוסרו אחרי כשלוש שעות. בזמן הזה הן היו זמינות לכל מי שהתקין את החבילה בלי לנעול גרסה. כך זה עבד.
איך הגרסאות הזדוניות של Axios הגיעו למחשבים
התוקפים השתלטו על חשבון ה-npm של המתחזק הראשי של הפרויקט. הם החליפו בו את כתובת הדוא״ל, ופרסמו את שתי הגרסאות בעצמם. בקוד של Axios אין שורה זדונית אחת. הגרסאות רק הוסיפו תלות חדשה בשם plain-crypto-js בגרסה 4.2.1.
התלות הזאת מעולם לא הופיעה בקוד של Axios. תפקידה היה אחד: להריץ סקריפט התקנה, postinstall, שמוריד נוזקה לפי מערכת ההפעלה. אחרי ההרצה הסקריפט מוחק את עצמו ומחליף את ה-package.json בגרסה נקייה. מי שבודק את התיקייה אחר כך לא רואה כמעט כלום.
לפי StepSecurity, המתקפה תוכננה מראש. התלות הזדונית עלתה ל-npm כ-18 שעות לפני הגרסאות. גרסה 1.14.1 עלתה ל-npm ב-31 במרץ ב-00:21 UTC. גרסה 0.30.4 עלתה 39 דקות אחריה.
WAVESHAPER.V2 והמתקפה על Axios: מי מאחוריה
הנוזקה, WAVESHAPER.V2, רצה על Windows, על macOS ועל Linux. היא מתקשרת עם שרת השליטה כל 60 שניות. היא יודעת לאסוף פרטי מחשב ורשימת תהליכים, לרוץ מתוך הזיכרון ולהריץ פקודות.
לפי Google Threat Intelligence Group, המתקפה מיוחסת ל-UNC1069. זו קבוצה בעלת מניע כלכלי שקשורה לצפון קוריאה ופעילה לפחות מ-2018. GTIG מסתמכת על כך שהנוזקה היא גרסה מפותחת של WAVESHAPER, כלי שהקבוצה כבר השתמשה בו. בנוסף, שרת השליטה קשור לתשתית שזוהתה בעבר עם הקבוצה.
GTIG מציינת גם שזה לא אותו גורם שמאחורי TeamPCP, שפגעה ב-Trivy, ב-LiteLLM וב-Checkmarx. אלה שני קמפיינים שונים. באותו שבוע שרשרת האספקה של התוכנה הייתה במרכז החדשות.
לדברי Charles Carmakal, ה-CTO של Mandiant, הסודות שנגנבו במתקפות כאלה יאפשרו תקיפות נוספות בשבועות ובחודשים שאחרי המתקפה. לדבריו, אלה כוללות כופרה, סחיטה וגניבת קריפטו.
למה זה חשוב גם למי שלא מתכנת
רוב ההתקנות של חבילות קורות אוטומטית. מפתח מריץ npm install, או שמערכת בנייה עושה זאת בלי שאיש מסתכל. לכן מחשב בנייה שמחזיק מפתחות ענן ושרתים הוא יעד אטרקטיבי במיוחד.
לפי Wiz, שאת הנתונים שלה מצטט Help Net Security, Axios קיימת בכ-80% מסביבות הענן והקוד. Wiz ראתה הרצה של הקוד הזדוני ב-3% מהסביבות שנפגעו. אלה נתוני ספק, אבל הם מראים שהחשיפה לא הייתה נקודתית.
אם חברה חיצונית בנתה לכם אתר או אפליקציה, שאלו אותה אם הריצה התקנה בשלוש השעות האלה. שאלה פשוטה כזאת יכולה לחסוך שבועות של חקירה.
מה זה אומר עבורכם
- חפשו את הגרסאות: בדקו בקבצי הנעילה package-lock.json, yarn.lock ו-pnpm-lock.yaml אם מופיעה Axios 1.14.1 או 0.30.4. חפשו גם את plain-crypto-js בתיקיית node_modules.
- מצאתם? בנו מחדש: התייחסו למחשב כאל פרוץ, ובנו אותו מחדש ממצב נקי. אחר כך החליפו את כל הסודות שהיו עליו. אלה כוללים טוקנים של npm, מפתחות ענן ומפתחות SSH, וגם סודות של CI וערכים בקבצי env.
- נעלו גרסאות: חזרו ל-Axios 1.14.0 או ל-0.30.3. הריצו התקנות ב-CI עם הדגל ignore-scripts, כדי שסקריפטי postinstall לא ירוצו.
- חסמו את שרת השליטה: חסמו את הדומיין sfrclak.com ואת הכתובת 142.11.206.73, והתריעו על כל פנייה אליהם.
- נקו מטמון: מחקו את המטמון של npm, yarn ו-pnpm במחשבי מפתחים ובשרתי בנייה.
מה הלאה
Axios היא רק אחת מכמה מתקפות על שרשרת האספקה באותם ימים. לכן הסודות שנגנבו בהן עלולים לשמש לתקיפות נוספות.
הלקח המעשי חל גם על פרויקטים קטנים. כדאי לנעול גרסאות, להגביל סקריפטי התקנה ולא לתת למחשב בנייה מפתחות רחבים מהנדרש.
מקורות והרחבה
- North Korea-Nexus Threat Actor Compromises Widely Used Axios NPM Package in Supply Chain AttackGoogle Threat Intelligence Group
- axios Compromised on npm - Malicious Versions Drop Remote Access TrojanStepSecurity
- Axios npm packages backdoored in supply chain attackHelp Net Security
- Axios npm Supply Chain IncidentCisco Talos
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
