O Axios, uma ferramenta utilizada no desenvolvimento de aplicativos, sofreu um ataque hacker durante a noite de segunda-feira (30), conforme informou a Socket, plataforma de segurança para desenvolvedores.
Em um comunicado no blog, a empresa afirmou que um ataque à cadeia de suprimentos do Axios introduziu uma dependência maliciosa (trojan), plain-crypto-js@4.2.1, publicada minutos antes das versões do projeto no GitHub.
Segundo a empresa, a análise mostrou que o pacote malicioso implantava uma carga útil de múltiplos estágios, incluindo um trojan de acesso remoto.
Essas versões comprometidas continham código capaz de executar scripts externos – que abria brechas para ataques como roubo de dados e invasão de sistemas.
O chamado “ataque à cadeia de suprimentos” é quando hackers exploram bibliotecas populares para atingir um grande número de aplicações ao mesmo tempo.
Após a identificação do problema, as versões afetadas foram removidas e os desenvolvedores orientados a atualizar imediatamente suas dependências.
O Axios é um dos clientes HTTP mais utilizados no ecossistema JavaScript, com cerca de 100 milhões de downloads semanais no npm e adoção em frameworks de front-end (ferramentas e códigos pré-escritos – baseados em Java – que estruturam e aceleram o desenvolvimento de interfaces web responsivas), além de serviços de back-end e aplicações corporativas.