31. März 2026
Beschreibung
Die weit verbreitete JavaScript-Bibliothek axios (HTTP-Client mit über 300 Millionen wöchentlichen Downloads auf npm) wurde durch kompromittierte Paketversionen als Angriffsvektor missbraucht. Über den gekaperten npm-Account eines Hauptentwicklers wurden zwei schadhafte Versionen veröffentlicht: axios@1.14.1 und axios@0.30.4. Beide Versionen enthalten eine zusätzliche Abhängigkeit (plain-crypto-js@4.2.1), die beim Installieren automatisch einen Remote Access Trojaner (RAT) für macOS, Windows und Linux nachlädt. Die schadhaften Versionen wurden mittlerweile von npm entfernt. Dieser Vorfall reiht sich in eine Serie von Supply-Chain-Angriffen auf Softwarepakete ein, über die wir bereits in einem CERT.at „Aktuelles“ zu Supply Chain Security im CI/CD-Umfeld (Angriffe auf Xygeni, Trivy, Checkmarx) berichtet haben.
Auswirkungen
Beim Installieren der kompromittierten axios-Versionen wird über ein postinstall-Skript automatisch und ohne Benutzerinteraktion Kontakt zu einem Command-and-Control-Server (sfrclak.com:8000) hergestellt und ein plattformspezifischer RAT heruntergeladen und ausgeführt. Die Schadsoftware löscht sich nach der Ausführung weitgehend selbst und ersetzt ihre eigene Konfiguration durch eine unauffällige Version, um forensische Analyse zu erschweren. Systeme, auf denen eine der betroffenen Versionen installiert wurde, müssen als vollständig kompromittiert betrachtet werden.
Darüber hinaus hat die Kompromittierung bereits zu Folgeschäden geführt: Laut Analyse von Socket wurden weitere npm-Pakete identifiziert, die die Schadsoftware transitiv weiterverbreiten. Das Paket @shadanai/openclaw (Versionen 2026.3.28-2, 2026.3.28-3, 2026.3.31-1, 2026.3.31-2) beinhaltet den schadhaften plain-crypto-js-Payload direkt in einem gebundelten Pfad. Das Paket @qqbrowser/openclaw-qbot@0.0.130 liefert eine manipulierte axios@1.14.1 in seinem node_modules/-Verzeichnis mit. Diese Pakete wurden vermutlich während des Zeitfensters erstellt, in dem axios@1.14.1 die aktuelle Version war, und haben die schadhafte Abhängigkeit transitiv übernommen. Darüber hinaus hat sich die Kompromittierung über JSII-Module auch auf andere Ökosysteme ausgebreitet: Version 0.0.194 des Pakets jjrawlins-cdk-iam-policy-builder-helper ist sowohl auf PyPI als auch auf NuGet betroffen, da es von der kompromittierten axios-Version abhängt.
Betroffene Systeme
* Systeme, auf denen axios@1.14.1 oder axios@0.30.4 per npm installiert wurde * CI/CD-Pipelines, in denen während des Zeitraums der Veröffentlichung (ca. 30. März 2026 00:21 UTC bis 31. März 2026 03:15 UTC) ein npm install ausgeführt wurde und eine der betroffenen Versionen aufgelöst wurde * Systeme, auf denen die transitiv betroffenen Pakete @shadanai/openclaw oder @qqbrowser/openclaw-qbot@0.0.130 installiert wurden * Systeme, auf denen Version 0.0.194 des Pakets jjrawlins-cdk-iam-policy-builder-helper über PyPI oder JJRawlins.CdkIamPolicyBuilderHelper über NuGet installiert wurde
Abhilfe
Die kompromittierten Versionen wurden bereits von npm entfernt. Wer eine der betroffenen Versionen installiert hat, sollte umgehend folgende Maßnahmen ergreifen: * Downgrade auf eine sichere Version: axios@1.14.0 (für 1.x) bzw. axios@0.30.3 (für 0.x) * Verzeichnis node_modules/plain-crypto-js entfernen – dessen Vorhandensein allein ist bereits ein Hinweis auf eine erfolgte Kompromittierung, auch wenn die darin enthaltene package.json unauffällig erscheint * Systeme auf RAT-Artefakte prüfen: macOS: /Library/Caches/com.apple.act.mond, Windows: %PROGRAMDATA%\wt.exe, Linux: /tmp/ld.py * Bei Fund von RAT-Artefakten: System als vollständig kompromittiert behandeln und von einem sauberen Zustand neu aufsetzen * Alle Zugangsdaten rotieren, die auf betroffenen Systemen oder in betroffenen CI/CD-Pipelines verfügbar waren (npm-Tokens, SSH-Schlüssel, Cloud-Credentials, Inhalte aus .env-Dateien) * Den C2-Server sfrclak.com (IP: 142.11.206.73) auf Netzwerk-/DNS-Ebene blockieren
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden. __________________________________________________________________
Informationsquelle(n):
axios Compromised on npm - Malicious Versions Drop Remote Access Trojan (Englisch)
https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions...
GitHub Issue #10604 im axios-Repository (Englisch) https://github.com/axios/axios/issues/10604
Supply Chain Attack on Axios Pulls Malicious Dependency from npm - Socket (Englisch) https://socket.dev/blog/axios-npm-package-compromised
ReversingLabs Spectra Assure Community - axios@1.14.1 (Englisch) https://secure.software/npm/packages/axios/1.14.1
CERT.at Blog: Supply Chain Security im CI/CD-Umfeld
https://www.cert.at/de/aktuelles/2026/3/supply-chain-security-im-cicd-umfeld
Mit freundlichen Grüßen, CERT.at