Разработчики Axios сообщили об атаке, в ходе которой хакеры из Северной Кореи получили доступ к аккаунту одного из мейнтейнеров библиотеки через социальную инженерию. В результате злоумышленники выпустили две вредоносные версии Axios (1.14.1 и 0.30.4), встроив в них зависимость plain-crypto-js, которая устанавливала удалённый доступ Trojan (RAT) на устройствах с macOS, Windows и Linux.
Суть атаки
Хакеры имитировали компанию и создали поддельный Slack-канал, чтобы заманить главного мейнтейнера Axios, Джейсона Саймена. Им удалось убедить его установить фальшивое обновление Microsoft Teams, которое на самом деле содержало RAT. За три часа, пока вредоносные версии были доступны, пользователи, скачавшие их, должны считать свои системы скомпрометированными и изменить все пароли и токены аутентификации.
«Они создали фейковый Slack, который выглядел очень реалистично,» — отметил Саймен. «Там были настоящие каналы, фейковые аккаунты сотрудников и мейнтейнеров.»
Влияние на безопасность
Угрозу связывают с группойUNC1069, которая активна с 2018 года. Атака подчеркивает уязвимость в области безопасности сообществ, работающих с открытым исходным кодом. По данным Google Threat Intelligence Group, аналогичные методы использовались против криптовалютных компаний и в других атаках.
Для разработчиков и организаций важно пересмотреть свои процедуры безопасности. Даже многофакторная аутентификация не обеспечила защиту, так как злоумышленники смогли обойти её, получив доступ к активным сессиям.
Следующие шаги
Разработчики Axios провели очистку системы и сбросили все учетные данные. Следующим шагом станет внедрение дополнительных мер безопасности, чтобы избежать повторения подобных инцидентов.