- Högprofilerade bibliotek som Axios och Mastra komprometterades genom kapade underhållarkonton, vilket påverkade miljontals nedladdningar per vecka.
- Angripare använde sofistikerade postinstall-krokar att leverera plattformsoberoende bakdörrar och stjäla känsliga inloggningsuppgifter från utvecklarmiljöer.
- Hotaktörer, inklusive de som är kopplade till Nordkoreanska grupper, utnyttjar i allt högre grad förtroendet för beroenden med öppen källkod snarare än att leta efter programvarubrister.
- Säkerhetsexperter rekommenderar inaktivera livscykelskript och implementera strikta utgående kontroller från nätverket för att mildra effekterna av förgiftade paket.
Utvecklare får reda på den hårda vägen att modernt utvecklingslandskap blir alltmer ett minfält där ett enda glömt lösenord kan äventyra tusentals projekt. Teknikvärlden har sett en massiv ökning av incidenter i leveranskedjan nyligen, vilket bevisar att även de mest betrodda verktygen i en utvecklares bälte kan riktas mot dem på några minuter utan att någon märker det förrän det är alldeles för sent.
Aktuell data tyder på att vi bevittnar en fundamental förändring i hur hackare agerar, i takt med att de går bort från traditionella attacker för att fokusera på försörjningskedjans säkerhetGenom att infiltrera ekosystemen för populära plattformar som npm kan angripare distribuera skadlig kod till miljontals system samtidigt, vilket förvandlar legitima programuppdateringar till en leveransmekanism för högkvalitativ skadlig kod och verktyg för datastöld.
Mastra-ekosystemet och LinkedIns nätfiskefälla
I mitten av 2026 blev Mastra-ramverket, som används flitigt för att bygga AI-applikationer, offer för en samordnad kampanj som började med en sofistikerad social ingenjörskonstattackEn bidragsgivare fick ett vilseledande meddelande på LinkedIn, vilket så småningom ledde till att deras npm-publiceringstoken komprometterades. Angriparen slösade ingen tid och publicerade över 140 skadliga versioner av paket under Mastra-namnrymden och nådde en användarbas som genererar över en miljon nedladdningar varje vecka.
Det som gör den här incidenten särskilt lömsk är att själva Mastra-koden förblev orörd, eftersom skadlig kod var dold inuti en nyligen tillagd beroende kallad easy-day-js. Detta paket var en klon av ett populärt datumbibliotek, utformat för att se helt oskyldigt ut för alla utvecklare som kort skannar deras beroendeträd. Genom att använda ett flytande versionsintervall säkerställde angriparen att varje ny installation automatiskt skulle hämta den förgiftade versionen, vilket effektivt öppnade en bakdörr till utvecklarens arbetsstation eller CI/CD-körning.
Forskargrupper har noterat små skillnader i det totala antalet berörda artefakter, med antal som sträcker sig från 116 till 145 paket beroende på tidpunkten för analysen. Detta belyser den volatila karaktären hos dessa kampanjer, där angripare kan publicera, modifiera och radera bevis snabbt, vilket gör att säkerhetsteam kämpar med att kartlägga hela omfattningen av exponeringen innan spåren är täckta.
Axios kapad: Den vanliga krypto-js-kopplingen
Situationen blev ännu dystrare när Axios, en vanlig HTTP-klient för JavaScript-utvecklare, drabbades av en liknande händelse. kontokapningshändelseVersionerna 1.14.1 och 0.30.4 släpptes med ett dolt beroende med namnet plain-crypto-js, vilket fungerade som en plattformsoberoende fjärråtkomsttrojan (RAT). Denna skadliga kod var specifikt konstruerad för att inventera system, etablera persistens och stjäla känslig data från både Windows-, macOS- och Linux-miljöer.
Säkerhetsanalytiker från Unit 42 och ESET har kopplat Axios-komprometteringen till en hotaktör som kallas Sapphire Sleet eller UNC1069, en grupp som enligt uppgift har kopplingar till nordkoreanska intressen. Denna koppling tyder på ett starkt ekonomiskt motiv, eftersom skadlig programvara innehöll specialiserade moduler för att upptäcka och rikta in sig på kryptovalutaplånbokstillägg. Det är ett klassiskt fall av högriskdigitalt spionage som gömmer sig i de verktyg vi använder för att bygga enkla webbappar.
Det tekniska utförandet var skrämmande effektivt och fullbordade ofta hela infektionscykeln i under femton sekunderNär nyttolasten väl startade utförde installationsprogrammet en aggressiv rensning, där de skadliga installationsfilerna raderades och det modifierade manifestet ersattes med en snygg lockbete. Denna nivå av forensisk medvetenhet innebär att en utvecklare kan titta i sin node_modules-mapp bara några minuter efter en infektion och inte se något konstigt.
Teknisk mekanik för Postinstall Hook
Den primära motorn för dessa attacker är npm postinstall-kroken, en funktion som gör att paket kan köra skript automatiskt efter installationen. Även om de är avsedda för legitima konfigurationsuppgifter, har det blivit en vidöppen dörr för angripare. I både Mastra- och Axios-fallen startade postinstallationsskriptet en obfuskerad laddare som inaktiverade TLS-certifikatverifiering, vilket gjorde att skadlig programvara kunde kommunicera med kommando- och kontrollservrar utan att flaggas av vanliga nätverksinspektionsverktyg.
När det andra steget av skadlig programvara hämtades, uppstod den ofta som en fristående process, vilket innebär att den skadliga koden fortsätta köras i bakgrunden även efter att npm-installationsprocessen var klar. På Windows-system observerades skadlig kod kapa legitima binärfiler som PowerShell för att köra sina skript, medan den på macOS och Linux använde systemnivåtjänster för att säkerställa att den skulle överleva en omstart, vilket gjorde enkel borttagning av paketet ineffektiv.
Utöver att bara stjäla krypto kunde dessa implantat samla in webbhistorik och söka efter molnleverantörsuppgifter eller SSH-nycklar. För en teknikstartup är detta ett mardrömsscenario där en utvecklares lokala miljö blir en inkörsport för en angripare att flytta in i produktionsservrar eller privata koddatabaser. Det visar sig att ditt företags säkerhet helt enkelt kan bero på att en helt främling inte har en dålig dag med sin lösenordshantering.
Härdning av rörledningen mot framtida hot
Standardsäkerhetsverktyg som npm audit misslyckas ofta med att upptäcka dessa incidenter i ett tidigt skede eftersom de förlitar sig på kända sårbarhetsdatabaser som kan halka efter aktiva skadliga kampanjer. För att verkligen skydda en organisation måste team gå mot mer proaktiva försvar, som till exempel köra installationer med flaggan –ignore-scripts som standard. Detta enkla steg förhindrar exekvering av postinstall-hooks, vilka är den primära vektorn för de flesta npm-baserade attacker i leveranskedjan.
En annan kritisk strategi innebär att man går över till en nollförtroendemodell för beroenden. Genom att använda frysta låsfiler och privata registerkan företag skapa en buffertzon där nya paketversioner analyseras för beteendeavvikelser innan de tillåts i den huvudsakliga byggpipelinen. Att begränsa nätverksutgående data från CI/CD-användare till endast godkända domäner kan också bryta kommunikationskedjan som skadlig kod behöver för att hämta sina sekundära nyttolaster eller stjäla stulna tokens.
Ytterst ligger ansvaret på både utvecklare och konsumenter av programvara med öppen källkod. skärpa åtkomstkontrollerna och implementera flerfaktorsautentisering som inte kan kringgås av automatiseringstokens. I takt med att branschen går framåt är det enda sättet att navigera i en era där själva leveranskedjan har blivit ett av de mest effektiva vapnen i en hackers arsenal att behandla varje tredjepartsbibliotek som en potentiell risk snarare än en betrodd tillgång.
