Axios

Um grupo de hackers vinculado à Coreia do Norte comprometeu a biblioteca JavaScript Axios, uma das mais populares do mundo, inserindo um código malicioso que pode roubar dados de sistemas operacionais como Windows, macOS e Linux. O ataque ocorreu entre 00h21 e 03h20 UTC do dia 31 de março de 2026, e as versões contaminadas foram removidas rapidamente. O Google atribuiu a ação ao grupo UNC1069, que tem um histórico de roubo de criptomoedas. Os invasores conseguiram acesso à conta do mantenedor do pacote npm do Axios, publicando duas versões adulteradas que incluíam uma dependência maliciosa chamada “plain-crypto-js”, que atuava como um dropper, baixando e executando outras ameaças. O ataque foi precedido por semanas de engenharia social, onde os hackers criaram perfis falsos e um workspace no Slack para enganar o mantenedor. O impacto do ataque é significativo, considerando que o Axios é utilizado em cerca de 80% dos ambientes de nuvem e desenvolvimento, com milhões de downloads semanais.

Os mantenedores do popular cliente HTTP Axios relataram um ataque de engenharia social que comprometeu a conta de um desenvolvedor, resultando na publicação de versões maliciosas do Axios no registro de pacotes npm. Durante um período de aproximadamente três horas, duas versões (1.14.1 e 0.30.4) injetaram uma dependência chamada plain-crypto-js, que instalou um trojan de acesso remoto (RAT) em sistemas macOS, Windows e Linux. O ataque foi atribuído ao grupo de hackers norte-coreano UNC1069, que utiliza táticas de engenharia social para enganar desenvolvedores. O principal alvo, Jason Saayman, foi induzido a instalar um malware disfarçado de atualização do Microsoft Teams após ser convidado para um espaço de trabalho Slack falso. Os mantenedores do Axios já tomaram medidas para mitigar o incidente, incluindo a redefinição de credenciais e a limpeza de sistemas afetados. Este ataque destaca a crescente preocupação com a segurança da cadeia de suprimentos, especialmente em projetos de código aberto amplamente utilizados.

O mantenedor do pacote Axios, Jason Saayman, confirmou que o comprometimento da cadeia de suprimentos foi resultado de uma campanha de engenharia social altamente direcionada, orquestrada por atores de ameaças da Coreia do Norte, identificados como UNC1069. Os atacantes se apresentaram como o fundador de uma empresa legítima, criando um espaço no Slack que parecia autêntico, onde interagiram com Saayman. Durante uma reunião falsa no Microsoft Teams, ele recebeu uma mensagem de erro que o levou a baixar um trojan de acesso remoto. Com isso, os atacantes conseguiram roubar as credenciais da conta npm de Saayman e publicaram versões comprometidas do pacote Axios, que é amplamente utilizado na comunidade JavaScript, com quase 100 milhões de downloads semanais. O ataque destaca a vulnerabilidade dos mantenedores de projetos de código aberto e o potencial de impacto em larga escala, afetando usuários downstream. Saayman implementou medidas preventivas, como redefinir dispositivos e credenciais e adotar práticas recomendadas para publicações. O incidente ressalta a necessidade de vigilância constante em um ambiente de desenvolvimento cada vez mais complexo.

O Google atribuiu formalmente a violação da cadeia de suprimentos do popular pacote Axios npm a um grupo de ameaças da Coreia do Norte, identificado como UNC1069. Este ataque, que visa roubar criptomoedas, ocorreu quando os invasores assumiram o controle da conta do mantenedor do pacote, permitindo a distribuição de versões trojanizadas que introduziram uma dependência maliciosa chamada ‘plain-crypto-js’. Essa dependência é utilizada para implantar um backdoor multiplataforma que afeta sistemas Windows, macOS e Linux. O ataque se destaca pela sua sofisticação, utilizando um hook de pós-instalação no arquivo ‘package.json’ para executar código malicioso de forma discreta. O backdoor, denominado WAVESHAPER.V2, é uma versão atualizada de um malware anterior e suporta comandos para executar scripts e coletar informações do sistema. Para mitigar os riscos, os usuários são aconselhados a auditar suas dependências, bloquear domínios de comando e controle e isolar sistemas afetados. Este incidente ressalta a necessidade de uma vigilância contínua sobre as dependências de software, especialmente em ambientes de desenvolvimento.

Recentemente, hackers invadiram a conta npm do pacote Axios, um cliente HTTP para JavaScript com mais de 100 milhões de downloads semanais, para disseminar trojans de acesso remoto (RATs) em sistemas Linux, Windows e macOS. De acordo com relatórios de empresas de segurança, como Endor Labs e Socket, duas versões maliciosas do pacote foram publicadas no registro npm: axios@1.14.1 e axios@0.30.4. A invasão ocorreu após a violação da conta de Jason Saayman, o principal mantenedor do Axios, e as versões maliciosas foram publicadas sem a origem automatizada do OpenID Connect, o que deveria ter acionado um alerta. O ataque foi cuidadosamente planejado, com a injeção de uma dependência maliciosa chamada plain-crypto-js@^4.2.1 no arquivo package.json, que executa um script pós-instalação para baixar e executar um payload específico para cada sistema operacional. O impacto potencial é significativo, dado que o Axios possui cerca de 400 milhões de downloads mensais. Os usuários são aconselhados a reverter para as versões limpas axios@1.14.0 e axios@0.30.3 e a tomar medidas de segurança adicionais, como a rotação de credenciais.

O popular cliente HTTP Axios foi alvo de um ataque de cadeia de suprimentos, resultando na publicação de versões comprometidas do pacote npm. As versões 1.14.1 e 0.30.4 introduziram uma dependência maliciosa chamada ‘plain-crypto-js’ na versão 4.2.1, que atua como um trojan de acesso remoto (RAT). O ataque foi realizado utilizando credenciais comprometidas do mantenedor principal do Axios, permitindo que os invasores contornassem o pipeline de CI/CD do projeto. O malware, uma vez instalado, se conecta a um servidor de comando e controle e executa scripts maliciosos específicos para macOS, Windows e Linux. Os usuários que instalarem essas versões devem reverter imediatamente para versões seguras e rotacionar suas credenciais. O ataque destaca a vulnerabilidade das dependências em projetos de código aberto e a necessidade de vigilância constante em ambientes de desenvolvimento. Com mais de 83 milhões de downloads semanais, o Axios é amplamente utilizado em aplicações JavaScript, tornando este incidente particularmente preocupante para desenvolvedores e empresas que dependem dessa tecnologia.

Recentemente, pesquisadores da ReliaQuest identificaram uma nova técnica de phishing que utiliza ferramentas de cliente HTTP, como Axios, em conjunto com a funcionalidade Direct Send da Microsoft. Essa combinação tem permitido que atacantes formem um ‘pipeline de ataque altamente eficiente’, resultando em um aumento de 241% na atividade do agente de usuário Axios entre junho e agosto de 2025. As campanhas de phishing têm se aproveitado do Direct Send para simular usuários confiáveis e garantir que suas mensagens evitem os gateways de segurança, alcançando uma taxa de sucesso de 70% em algumas operações. Os ataques visam principalmente executivos e gerentes de setores como finanças e saúde, mas rapidamente se expandiram para todos os usuários. Os criminosos utilizam Axios para interceptar e modificar requisições HTTP, capturando tokens de sessão e códigos de autenticação multifatorial em tempo real. Além disso, os e-mails fraudulentos frequentemente contêm documentos PDF com QR codes maliciosos que redirecionam para páginas de login falsas, facilitando o roubo de credenciais. Para mitigar esses riscos, as organizações devem considerar desabilitar o Direct Send, implementar políticas de anti-spoofing e treinar funcionários para reconhecer e-mails de phishing.