NERDMANAxios gehackt: Malware erreicht 101 Millionen Nutzer
Einer der beliebtesten JavaScript-Pakete wurde kompromittiert. Die HTTP-Bibliothek Axios — 101 Millionen Downloads pro Woche auf npm — verteilte plötzlich Schadsoftware.
Was passiert ist
Die Versionen 1.14.1 und 0.30.4 von Axios enthielten eine neue Abhängigkeit namens `plain-crypto-js`. Klingt harmlos. War es nicht. Das Paket war frisch veröffentlichte Malware.
Die Schadens-Bilanz
- 101 Mio.** — wöchentliche Downloads von Axios auf npm
- 2 Versionen** — betroffen: 1.14.1 und 0.30.4
- 1 Fake-Paket** — `plain-crypto-js`, frisch hochgeladen
So lief der Angriff
Die Malware hatte zwei Jobs: Zugangsdaten stehlen und einen Remote Access Trojan (RAT) installieren. Wer die kompromittierte Version installierte, gab Angreifern vollen Zugriff auf sein System. Einfallstor war offenbar ein geleakter, langlebiger npm-Token.
✅ Pro
- Axios hat das Problem erkannt und arbeitet an Trusted Publishing
- Die Community hat den Angriff schnell dokumentiert
❌ Con
- Ein einzelner geleakter Token reichte für den gesamten Angriff
- Langlebige API-Tokens sind in der npm-Welt immer noch Standard
- Millionen Entwickler hängen an Paketen ohne echte Sicherheitskette
💡 Was das bedeutet
Jede App, jedes Backend, jedes Tool, das in den letzten Tagen `npm install` lief und Axios nutzt, könnte betroffen sein. Supply-Chain-Angriffe treffen nicht ein Ziel — sie treffen alle, die dem Paket vertrauen. Und bei 101 Millionen Downloads pro Woche ist das verdammt viel Vertrauen.
