Ataque da Coreia do Norte ao Axios: Violação da Cadeia de Suprimentos

O que é o Ataque à Cadeia de Suprimentos do Axios?

Em 31 de março de 2026, hackers da Coreia do Norte comprometeram o popular pacote npm Axios, afetando milhares de desenvolvedores e organizações globalmente. O ataque à cadeia de suprimentos envolveu agentes maliciosos acessando a conta de um mantenedor por três horas e publicando versões troianizadas (1.14.1 e 0.30.4) com uma dependência oculta 'plain-crypto-js' que implantou um cavalo de troia de acesso remoto (RAT) multiplataforma. Com o Axios sendo uma das bibliotecas JavaScript mais usadas para requisições HTTP, com mais de 100 milhões de downloads semanais, este ataque representa um dos maiores comprometimentos de cadeia de suprimentos recentes.

Como o Ataque da Coreia do Norte Ocorreu

O ataque foi executado com precisão pelo grupo de ameaça norte-coreano UNC1069, ativo desde 2018 e especializado em setores de criptomoeda e financeiro. Segundo a empresa de cibersegurança Mandiant, dos EUA, os atacantes comprometeram as credenciais da conta npm de um mantenedor do Axios e publicaram duas versões maliciosas em uma janela de três horas antes da remoção.

O Mecanismo Técnico

Os pacotes comprometidos continham uma dependência fantasma que executava automaticamente um script postinstall durante a instalação. Este script baixava e instalava o backdoor WAVESHAPER.V2, um RAT multiplataforma sofisticado capaz de infectar sistemas Windows, macOS e Linux. O malware foi projetado para: coletar credenciais como tokens de acesso pessoal do GitHub, chaves de API de serviços em nuvem (AWS, GCP, Azure), exfiltrar chaves SSH e tokens npm, estabelecer conexões persistentes de comando e controle, e executar comandos arbitrários. A sofisticação sugere capacidades patrocinadas pelo estado, com especialistas notando que o malware usou técnicas de dupla ofuscação e autodestruição para evitar detecção. 'Se você não entra pela porta da frente, tenta a dos fundos – e isso está acontecendo cada vez mais,' disse Jort Kollerie, consultor estratégico e vice-diretor de segurança da informação da Orange Cyberdefense.

Por que a Coreia do Norte Mira Cadeias de Suprimentos de Software

Hackers norte-coreanos têm recorrido cada vez mais a operações cibernéticas como fonte primária de receita para o regime sancionado. Funcionários da Casa Branca estimam que cerca de metade do programa de mísseis da Coreia do Norte é financiado por roubo digital, com heists de criptomoeda gerando bilhões anualmente. Este ataque segue um padrão de operações norte-coreanas que visam a cadeia de suprimentos de software, semelhante a incidentes anteriores como o ataque à cadeia de suprimentos do SolarWinds que afetou agências governamentais globalmente. Ao comprometer pacotes de código aberto amplamente usados, os atacantes podem alcançar impacto máximo com esforço mínimo, acessando potencialmente milhares de aplicações e organizações downstream.

Impacto e Escala da Violação

Avaliações iniciais indicam aproximadamente 600.000 instalações durante a janela de três horas, afetando cerca de 3% dos usuários do Axios. O Centro Nacional de Cibersegurança (NCSC) da Holanda emitiu um alerta urgente, afirmando que organizações que desenvolvem software com pacotes npm ou Python comprometidos podem ter dados de autenticação acessados por agentes maliciosos. Os efeitos em cascata abrangem múltiplos setores, incluindo saúde, finanças, criptomoeda e tecnologia, com possíveis impactos em sistemas de dados de pacientes, aplicações bancárias, plataformas de câmbio e infraestrutura de nuvem.

Como se Proteger Contra Ataques à Cadeia de Suprimentos

Especialistas recomendam ação imediata: auditar dependências para versões do Axios 1.14.1 ou 0.30.4 e a dependência plain-crypto-js@4.2.1; rotacionar todas as credenciais assumindo comprometimento; implementar fixação de versão no package.json; habilitar autenticação multifator para contas de mantenedores; e monitorar tráfego de rede para conexões suspeitas. Organizações devem considerar práticas de segurança como melhores práticas de segurança da cadeia de suprimentos de software, incluindo geração de Software Bill of Materials (SBOM) e períodos de resfriamento de dependências.

Implicações de Longo Prazo para a Segurança de Código Aberto

Este ataque destaca vulnerabilidades fundamentais no ecossistema de código aberto, onde uma única conta de mantenedor comprometida pode afetar milhões de usuários downstream. O incidente renovou discussões sobre segurança melhorada de contas de mantenedores com chaves de hardware, requisitos de assinatura e verificação de proveniência de pacotes, melhor monitoramento de atividades de registro de pacotes e aumento de financiamento para projetos críticos de código aberto. Como observou Donner Bakker, editor de tecnologia do BNR, milhares de desenvolvedores foram infectados, e o escopo total do dano pode levar meses para ser avaliado.

Perguntas Frequentes

O que é o Axios e por que foi alvo?

Axios é um cliente HTTP baseado em promessas para JavaScript usado em navegadores e Node.js. Foi alvo devido à sua adoção generalizada (mais de 100 milhões de downloads semanais) em múltiplos setores, tornando-o um vetor ideal para ataques à cadeia de suprimentos.

Como posso verificar se meu sistema foi afetado?

Verifique seus arquivos package-lock.json ou yarn.lock para versões do Axios 1.14.1 ou 0.30.4 e a dependência plain-crypto-js@4.2.1. Revise também logs de instalação npm de 31 de março de 2026, entre 00:00 e 03:29 UTC.

O que organizações afetadas devem fazer imediatamente?

Assumir comprometimento total do sistema, rotacionar todas as credenciais (tokens do GitHub, chaves de nuvem, chaves SSH), conduzir varreduras de malware e auditar todos os sistemas que instalaram os pacotes comprometidos.

Usuários finais de aplicações construídas com Axios estão em risco?

Usuários finais não são diretamente afetados durante a execução, mas desenvolvedores e ambientes de construção que instalaram os pacotes maliciosos estão em risco significativo de roubo de credenciais e comprometimento do sistema.

Como futuros ataques à cadeia de suprimentos podem ser evitados?

Implemente fixação de dependências, use lockfiles com npm ci, habilite assinatura de pacotes, exija MFA para mantenedores, estabeleça períodos de resfriamento e use ferramentas de segurança como Socket.dev ou Snyk.

Fontes

The Hacker News: Google Atribui Ataque à Cadeia de Suprimentos do Axios NPM
CNN: Hackers Norte-coreanos Executam Grande Ataque à Cadeia de Suprimentos
Alerta NCSC: Comprometimento Generalizado da Cadeia de Suprimentos
Snyk: Pacote Axios NPM Comprometido em Ataque à Cadeia de Suprimentos
SecurityWeek: Pacote Axios NPM Violado em Ataque Norte-coreano