Mobile-Menu

Nordkoreanische Hacker HTTP-Client Axios für Supply-Chain-Angriff missbraucht

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

Aagon GmbH
Fujitsu Technology Solutions GmbH

Der HTTP-Client Axios ist aufgrund eines Lieferkettenangriffs über mani­pu­lierte NPM-Versionen anfällig für die Installation von Remote-Access-Tro­ja­nern. Dahinter stecken nordkoreanische Akteure und nicht wie zuerst ver­mu­tet die Gruppe TeamPCP, die für andere Attacken verantwortlich ist.

Weil TeamPCP kurz zuvor mehrere großangelegte Supply‑Chain‑Angriffe durchgeführt hatte, wurde die Axios‑Kompromittierung zunächst fälschlich der Gruppe zugeschrieben.(Bild: © solom - stock.adobe.com / KI-generiert)
Weil TeamPCP kurz zuvor mehrere großangelegte Supply‑Chain‑Angriffe durchgeführt hatte, wurde die Axios‑Kompromittierung zunächst fälschlich der Gruppe zugeschrieben.
(Bild: © solom - stock.adobe.com / KI-generiert)

Nachdem manipulierte Versionen von Trivy und Telnyx umfangreiche Lieferkettenangriffe nach sich zogen und mehrere Tausenden Cloud- und CI-Umgebungen gefährdeten, wurde auch der Supply-Chain-Angriff über den HTTP-Client Axios fälschlicherweise der Hackergruppe „Team­PCP“ zugeschrieben. Wie Untersuchungen von Google nun zeigen, stecken dahinter allerdings nordkoreanische Akteure.

Falscher Verdacht

Axios dient der Verarbeitung von HTTP-Anfragen und ist in viele Softwareprojekte ein­ge­bun­den. Zuletzt wurde das Tool etwas mehr als 91 Millionen Mal heruntergeladen. Die Hacker haben den Sicherheitsforschern von Aikido nach den NPM-Account des Axios-Maintainers Jason Saayman kompromittiert und zwei Versionen veröffentlicht, die Schadcode enthalten. Diese sind 1.14.1 und 0.30.4. Mithilfe der Malware solle ein Trojaner verbreitet werden, der den Fern­zugriff auf infizierte Systeme ermögliche.

Auch Google hat sich die Angriffskette genauer angesehen und ist zu der Erkenntnis gekom­men, das dahinter nicht TeamPCP steckt, obwohl dies anzunehmen sei, da die Gruppe in den vergangenen Wochen für diverse andere Supply-Chain-Attacken verantwortlich war. Doch TeamPCP schleust in der Regel keinen Fernzugriffstrojaner ein, sondern konzentriert sich eher auf das Stehlen von Anmeldedaten mit Infostealern. Stattdessen sei eine nordkoreanische Hacker­gruppe für die Axios-Attacken verantwortlich: „Wir haben den Angriff einem mut­maß­lichen nordkoreanischen Bedrohungsakteur zugeordnet, den wir als UNC1069 verfolgen. Nordkoreanische Hacker verfügen über umfangreiche Erfahrung mit Supply-Chain-Angriffen, die sie in der Vergangenheit häufig genutzt haben, um Kryptowährungen zu stehlen. Das volle Ausmaß dieses Vorfalls ist derzeit noch unklar, aber angesichts der großen Verbreitung des kompromittierten Pakets gehen wir davon aus, dass die Auswirkungen weitreichend sein werden“, kommentiert John Hultquist, Chief Analyst der Google Threat Intelligence Group.

Beide schädlichen Versionen von Axios wurden innerhalb von drei Stunden entfernt. Doch damit ist das Risiko nicht gebannt.

Schutz vor Axios-Lieferkettenangriff

Entwicklersysteme und CI/CD-Pipelines sollten als infiziert angesehen werden. Betroffene sollten dringend diese Maßnahmen ergreifen, um sich zu schützen:

  • Überprüfen Sie, ob Sie schädliche Axios-Versionen nutzen. Durchsuchen Sie dafür Ihre installierten Pakete und die Sperrdatei nach Version 1.14.1 oder 0.30.4.
  • Untersuchen Sie, ob das Dropper-Paket vorhanden ist, das die Malware auf dem anfälligen System installiert. Selbst wenn die Datei „setup.js“ sich selbst gelöscht habe, existiere das Verzeichnis Aikido nach weiterhin. Allein dessen Vorhandensein bestätige, dass der Dropper ausgeführt worden sei.
  • Überprüfen Sie die Festplatte auf Artefakte des Remote Access Trojaners macOS

Neben detaillierten Anweisungen, um diese Schritte auszuführen, haben die Analysten auch eine Liste der Indicators of Compromise veröffentlicht.

(ID:50803628)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte