Der HTTP-Client axios war kurzzeitig mit einer Hintert\u00fcr versehen und stand damit ausger\u00fcstet f\u00fcr rund drei Stunden zum Download. Wie oft der Client in diesem Zeitraum heruntergeladen und installiert wurde, ist bislang unklar. Nun erkl\u00e4rt der Maintainer, wie das passieren konnte.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Am 30. M\u00e4rz haben die Angreifer die mit Schadcode verseuchten Versionen 1.14.1 und 0.30.4 ver\u00f6ffentlicht<\/a>. Mittlerweile hat der Entwickler wieder die Kontrolle und die Ausgaben sind offline. In einem Beitrag von Google Threat Intelligence finden sich Hinweise<\/a>, an denen man bereits erfolgreich attackierte Systeme erkennen kann.<\/p>\n Klassischer Social-Engineering-Angriff<\/p>\n In seinem Post-Mortem-Bericht f\u00fchrt der axios-Maintainer aus<\/a>, dass ihn die wahrscheinlich der nordkoreanischen Gruppe UNC1069 angeh\u00f6rigen Angreifer im Zuge einer Social-Engineering-Attacke ausgetrickst haben. Das Ganze sei extrem professionell und \u00fcberzeugend abgelaufen.<\/p>\n Er gibt an, dass die Angreifer sich als Unternehmensgr\u00fcnder ausgegeben und ihn in einen Slack-Workspace eingeladen haben. Dort sah ihm zufolge alles \u00e4u\u00dferst \u00fcberzeugend aus und es gab verschiedene Kan\u00e4le mit passenden Inhalten und glaubhaften Profilen.<\/p>\n Dann wurde er zu einem Teamsmeeting eingeladen. W\u00e4hrenddessen tauchte eine Fehlermeldung auf und er sollte ein Update installieren. Das war aber kein Teams-Update, sondern ein Trojaner zum Einsacken von Zugangsdaten. So konnten sie die npm-Zugangsdaten des Entwicklers kopieren und die Trojaner-Version von axios in Umlauf bringen.<\/p>\n Nicht die einzige Attacke<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Der axios-Entwickler ist aber nicht das einzige Opfer im Open-Source-Maintainer-Umfeld. Offensichtlich haben es die Cyberkriminellen auf weitere Pakte wie das Mocha-Framework abgesehen. Das berichtet der Maintainer auf Github<\/a>.<\/p>\n