Die Google Threat Intelligence Group (GTIG) ordnet den Angriff auf axios einem nordkoreanischen Bedrohungsakteur zu, den sie als UNC1069 bezeichnet. Mehrere weitere Forscher stützen diese Einschätzung: Die bei dem Angriff eingesetzten Backdoors ähneln WAVESHAPER, einer Schadsoftware, die nordkoreanische Akteure während einer Kampagne mit einem gefälschten Zoom-Meeting verwendeten. Bei dieser kürzlichen Aktion soll die finanziell motivierte Gruppe ein Kryptowährungsunternehmen mit mehreren eigens entwickelten Schadprogrammen sowie diversen Betrugsmaschen ins Visier genommen haben. SentinelOne fand dieselbe Gruppe bereits 2023 beim Einsatz von macOS-Malware.

John Hultquist, Chefanalyst bei der Google Threat Intelligence Group, betonte, der Vorfall stehe in keinem Zusammenhang mit einem anderen kürzlichen Lieferketten-Angriff, der wegen seiner Reichweite für Aufsehen gesorgt hatte. Nordkoreanische Hacker verfügten laut Hultquist über “tiefe Erfahrung mit Lieferketten-Angriffen, die sie in der Vergangenheit zum Diebstahl von Kryptowährung genutzt haben”. Ein Lieferketten-Angriff auf das Telefonie-Unternehmen 3CX im Jahr 2023 wurde nordkoreanischen Hackern zugeschrieben. “Das volle Ausmaß dieses Vorfalls ist noch unklar, aber angesichts der Popularität des kompromittierten Pakets erwarten wir weitreichende Auswirkungen”, sagte Hultquist.

Die Sicherheitsfirmen Socket und StepSecurity bestätigten die Schädlichkeit der beiden npm-Pakete und führten den Vorfall auf die Übernahme des npm-Kontos des leitenden axios-Betreuers zurück. Laut Socket bringt das manipulierte Paket eine mehrstufige Schadlast mit, darunter einen “Remote-Access-Trojaner (RAT), der beliebige Befehle ausführen, Systemdaten abziehen und sich auf infizierten Rechnern dauerhaft einnisten kann”. Socket schilderte zudem, dass die axios-Betreuer die Kontrolle über das Projekt zunächst nicht zurückerlangen konnten: In einem öffentlichen GitHub-Eintrag erklärte ein Mitarbeiter, er könne dem für die schädliche Veröffentlichung verantwortlichen Konto den Zugriff nicht entziehen, da dessen Berechtigungen seine eigenen überstiegen.

StepSecurity bezeichnete den Vorfall als einen “der operativ ausgefeiltesten Lieferketten-Angriffe, die je gegen ein npm-Top-10-Paket dokumentiert wurden”. Die manipulierte Version schleust eine neue Abhängigkeit ein, welche die Schadsoftware installiert; betroffen sind Windows, macOS und Linux. Nach der Ausführung löscht sich die Malware selbst und ersetzt sich durch eine saubere Version des Werkzeugs, um einer Entdeckung zu entgehen. “In axios selbst steckt keine einzige Zeile Schadcode, und genau das macht diesen Angriff so gefährlich”, so die Forscher.

Der Fall reiht sich in eine Serie von Kompromittierungen der Software-Lieferkette ein. Vergangene Woche ermöglichte ein Angriff auf das weit verbreitete Python-Paket LiteLLM Cyberkriminellen den Einbruch bei mehreren Organisationen; frühere Vorfälle betrafen XZ Utils und den sich selbst verbreitenden Wurm Shai-Hulud. Mandiant-CTO Charles Carmakal nannte die Zahl der jüngsten Lieferketten-Angriffe überwältigend und sprach von Hunderttausenden gestohlenen Zugangsdaten, hinter denen Akteure mit unterschiedlichen Motiven stünden. Mike Puglia von Kaseya wies darauf hin, dass der Angreifer ein einziges Konto kompromittiert habe und der Schadcode fast drei Stunden lang aktiv gewesen sei, bevor er entdeckt wurde – an einem typischen Tag könnten so Zehntausende Organisationen die Malware erhalten haben.