DOU Polska

Atak na Axios nie wynikał z luki w kodzie, ale z precyzyjnie przygotowanej socjotechniki. Maintainer projektu został zmanipulowany podczas fałszywego onboardingu i sam zainstalował trojana, który dał dostęp do tokenów npm. Pokazuje to, jak realne jest ryzyko przejęcia projektu bez łamania infrastruktury. Jak zabezpieczacie dostęp do swoich kont i tokenów?

Jason Saiman, główny maintainer Axios, podzielił się szczegółami tego, jak dokładnie został zhakowany │ DOU Pamiętacie, że niedawno napastnicy zhakowali Axios — jeden z najpopularniejszych klientów HTTP w świecie JavaScriptu? Tak więc niedawno Jason Saiman, główny maintainer Axios, opublikował post-mortem tego, jak udało się go złamać.

Atak na łańcuch dostaw dotknął Axios — jednego z najczęściej używanych klientów HTTP w ekosystemie JavaScript. Zainfekowane wersje trafiły do npm z pominięciem oficjalnego procesu publikacji, a złośliwa zależność uruchamiała malware już na etapie instalacji. Sprawdziliśmy, jak przebiegał atak i co powinni zrobić deweloperzy, którzy mogli pobrać podatne wersje.

Jak oceniasz skalę ryzyka w takich incydentach?

Axios padł ofiarą ataku na łańcuch dostaw │ DOU Niedawno branża mierzyła się z incydentem dotyczącym pakietu Litellm w PyPI, a w nocy z 30 na 31 marca hakerzy skompromitowali Axios — jeden z najczęściej używanych klientów HTTP w ekosystemie JavaScript, pobierany ponad 100 milionów razy tygodniowo i wykorzystywany w wielu projektach. Ba...