{"id":38042,"date":"2026-04-17T13:04:38","date_gmt":"2026-04-17T11:04:38","guid":{"rendered":"https:\/\/enginsight.com\/?p=38042"},"modified":"2026-04-17T15:30:00","modified_gmt":"2026-04-17T13:30:00","slug":"axios-npm-supply-chain-kompromittierung","status":"publish","type":"post","link":"https:\/\/enginsight.com\/de\/blog\/axios-npm-supply-chain-kompromittierung\/","title":{"rendered":"Axios NPM Supply Chain Kompromittierung"},"content":{"rendered":"

Am 30. März 2026 wurde das weit verbreitete NPM-Paket axios<\/em> durch nordkoreanische Angreifer kompromittiert. Über einen übernommenen Maintainer-Account veröffentlichten sie zwei manipulierte Versionen, die den Remote-Access-Trojaner „WAVESHAPER.V2“ für Windows, macOS und Linux enthielten.<\/p>\n\n\n\n

Enginsight nutzt das Paket ebenfalls, hatte die spezifische, kompromittierte Version (1.14.1) aber nicht installiert und ist somit nicht betroffen!<\/strong><\/pre>\n\n\n\n
Betroffene Versionen und Sicherheitskennungen<\/h2>\n\n\n\n
Zwei manipulierte axios-Versionen wurden über den kompromittierten Account veröffentlicht, beide mit einer neuen bösartigen Abhängigkeit plain-crypto-js<\/code>:<\/p>\n\n\n\n
Paket<\/th>Version<\/th>npm-Tag<\/th>Status<\/th><\/tr>
axios<\/strong><\/td>1.14.1<\/strong><\/td>latest<\/td>Entfernt durch npm<\/td><\/tr>
axios<\/strong><\/td>0.30.4<\/strong><\/td>legacy<\/td>Entfernt durch npm<\/td><\/tr>
plain-crypto-js<\/strong><\/td>4.2.1<\/strong><\/td>—<\/td>Security Hold, ersetzt durch Stub 0.0.1-security.0<\/td><\/tr>
plain-crypto-js<\/td>4.2.0<\/td>—<\/td>Sauberes Täuschungspaket (18h vorher veröffentlicht)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
Sichere Versionen:<\/strong> axios@1.14.0<\/code> (letztes legitimes 1.x-Release) und axios@0.30.3 (letztes legitimes 0.x-Release). Weitere betroffene Pakete im Ökosystem: @shadanai\/openclaw (mehrere Versionen) und @qqbrowser\/openclaw-qbot@0.0.130, die den manipulierten axios transitiv auslieferten.<\/p>\n\n\n\n
Ablauf des Angriffs<\/h2>\n\n\n\n
Die Angriffskette begann mit der Vorbereitung einer bösartigen Abhängigkeit. Der Angreifer veröffentlichte zunächst das Paket plain-crypto-js als nahezu identischen Klon von crypto-js, um Vertrauen aufzubauen und eine unauffällige Historie in der npm-Registry zu erzeugen. Wenige Stunden später folgte eine neue Version, die ein manipuliertes postinstall-Skript enthielt.<\/p>\n\n\n\n
Anschließend wurden zwei scheinbar legitime axios<\/em>-Versionen veröffentlicht. Der einzige Unterschied bestand darin, dass sie die präparierte Abhängigkeit plain-crypto-js einbanden. Der eigentliche Schadcode befand sich somit nicht direkt in axios<\/em>, sondern versteckt in dieser transitiven Abhängigkeit.<\/p>\n\n\n\n
Beim Ausführen von npm install wurde automatisch das bösartige postinstall<\/em>-Skript gestartet. Dieses war stark verschleiert, entschlüsselte sich zur Laufzeit und lud benötigte Systemfunktionen dynamisch nach. Danach identifizierte es das Betriebssystem und nahm Kontakt zu einem Command-&-Control-Server auf.<\/p>\n\n\n\n
Im nächsten Schritt wurde je nach Plattform ein passender Remote-Access-Trojaner nachgeladen und ausgeführt. Dabei nutzte der Angreifer Tarntechniken, etwa unauffällige Domainnamen, um die Kommunikation weniger verdächtig erscheinen zu lassen.<\/p>\n\n\n\n
Abschließend führte die Malware Anti-Forensik-Maßnahmen durch. Dabei löschte das Installationsskript sich selbst und manipulierte Dateien so, dass die Installation wie eine harmlose Version wirkte. Sicherheitsprüfungen wie npm audit schlugen daher nicht an. Der einzige verbleibende Hinweis auf eine Kompromittierung war das Vorhandensein des verdächtigen Pakets im node_modules-Verzeichnis.<\/p>\n\n\n\n
Indicators of Compromise<\/h2>\n\n\n\n
Malicious npm Packages<\/strong><\/p>\n\n\n\n