A biblioteca Axios foi alvo de um ataque à cadeia de abastecimento, com hackers a utilizarem tokens npm roubados para inserir um cavalo de Tróia remoto, afetando cerca de 80% do ambiente em nuvem

DeepFlowTech · 2026-04-02T05:16:42+00:00

Recentemente, o token de acesso npm do mantenedor do Axios foi roubado por um atacante, que lançou uma versão maliciosa contendo um cavalo de Troia, afetando sistemas macOS, Windows e Linux. Embora o projeto tenha implementado medidas de segurança, a existência de tokens tradicionais permitiu que os atacantes contornassem as defesas, resultando na intrusão de pelo menos 135 sistemas.

DeepFlowTech

2026-04-02 05:16:42

Geração do resumo em andamento

Notícia Deep Tide TechFlow, a 02 de abril, segundo a VentureBeat, os atacantes roubaram o token de acesso npm do principal mantenedor da biblioteca mais popular de clientes HTTP em JavaScript, Axios, e usaram esse token para publicar duas versões maliciosas que continham um cavalo de Troia de acesso remoto (RAT) multiplataforma (axios@1.14.1 e axios@0.30.4), visando sistemas que abrangem macOS, Windows e Linux. Após cerca de 3 horas de permanência no registo npm, os pacotes maliciosos foram removidos.

De acordo com os dados da empresa de segurança Wiz, o Axios tem mais de 100 milhões de downloads semanais e está presente em cerca de 80% dos ambientes de nuvem e de código. A empresa de segurança Huntress detetou as primeiras infeções apenas 89 segundos após a publicação dos pacotes maliciosos e confirmou, durante a janela de exposição, pelo menos 135 sistemas comprometidos.

É de salientar que o projeto Axios já tinha implementado medidas modernas de segurança, como o mecanismo de publicação fidedigna com OIDC e provas de rastreabilidade SLSA, mas o atacante contornou completamente essas defesas. A investigação revelou que o projeto, ao mesmo tempo que configurou o OIDC, manteve também um NPM_TOKEN tradicional de longa duração, e que quando ambos coexistem o npm dá prioridade por defeito ao token tradicional, permitindo ao atacante concluir a publicação sem ter de contornar o OIDC.

Ver original

Esta página pode conter conteúdo de terceiros, que é fornecido apenas para fins informativos (não para representações/garantias) e não deve ser considerada como um endosso de suas opiniões pela Gate nem como aconselhamento financeiro ou profissional. Consulte a Isenção de responsabilidade para obter detalhes.