Axios npm-Paket kompromittiert – Angreifer schleusen Trojaner ein

Am 31. März 2026 wurden zwei Versionen des weit verbreiteten JavaScript-HTTP-Clients Axios (1.14.1 und 0.30.4) mit Schadsoftware verseucht. Ein Angreifer hatte sich Zugang zum npm-Konto des Hauptentwicklers verschafft und darüber gefälschte Paketversionen veröffentlicht, die eine bösartige Abhängigkeit namens „plain-crypto-js" einschleussen. Dieses Paket lädt beim Installieren automatisch einen Fernzugriffs-Trojaner (RAT) auf macOS, Windows und Linux herunter – ohne dass eine einzige Zeile im eigentlichen Axios-Code verändert wurde. Die Spuren wurden anschliessend gezielt verwischt. Mit über 83 Millionen wöchentlichen Downloads ist Axios eines der meistgenutzten Pakete im JavaScript-Ökosystem.

Bin ich betroffen?

Wer Axios 1.14.1 oder 0.30.4 in einem Projekt installiert hat, sollte folgende Dateien prüfen: /Library/Caches/com.apple.act.mond (macOS), %PROGRAMDATA%\wt.exe (Windows) oder /tmp/ld.py (Linux). Existiert eine davon, ist das System als kompromittiert zu betrachten. Auch Projekte, die @shadanai/openclaw oder @qqbrowser/openclaw-qbot@0.0.130 einsetzen, sind betroffen.

Empfehlung

Sofort auf Axios 1.14.0 bzw. 0.30.3 downgraden, plain-crypto-js aus node_modules entfernen und alle Zugangsdaten und Secrets auf dem betroffenen System rotieren. CI/CD-Pipelines sollten auf Läufe mit den betroffenen Versionen geprüft werden. Ausgehende Verbindungen zur Domain sfrclak[.]com sind zu blockieren.

Originalartikel: The Hacker News

Tags :

Related Posts

Apache ActiveMQ-Lücke führt zu LockBit-Ransomware-Angriff

Eine detaillierte Fallanalyse von The DFIR Report zeigt, wie Angreifer über die seit 2023 bekannte Schwachstelle CVE-2023-46604 in Apache ActiveMQ eingedrungen sind – und das gleich zweimal beim selben Opfer. Der originale Bericht ist hier abrufbar: The DFIR Report, Februar 2026

Read More

Kritische Sicherheitslücke im WordPress-Plugin „Drag and Drop Multiple File Upload – Contact Form 7"

Wer auf seiner WordPress-Seite das Plugin Drag and Drop Multiple File Upload – Contact Form 7 in Version 1.3.9.5 oder älter einsetzt, sollte umgehend handeln. Die am 5. März 2026 veröffentlichte Schwachstelle (CVE-2026-3459) erlaubt es völlig unbekannten, nicht eingeloggten Angreifern, beliebige Dateien auf den Webserver hochzuladen – ohne jegliche Authentifizierung. Im schlimmsten Fall kann darüber schadhafter Code direkt auf dem Server ausgeführt werden, was eine vollständige Kompromittierung der Website bedeutet. Der CVSS-Score liegt bei 8.1 (Hoch).

Read More

NLTK-Downloader erlaubt Überschreiben beliebiger Dateien (CVE-2026-33236)

Die beliebte Python-Bibliothek NLTK (Natural Language Toolkit) weist in allen Versionen bis einschliesslich 3.9.2 eine kritische Path-Traversal-Schwachstelle auf. Der NLTK-Downloader prüft beim Verarbeiten von XML-Indexdateien die Attribute subdir und id nicht auf gefährliche Zeichenfolgen wie ../. Ein Angreifer, der einen eigenen XML-Indexserver betreibt, kann dadurch Opfer dazu bringen, beim Ausführen eines scheinbar harmlosen downloader.download()-Aufrufs beliebige Dateien auf deren System zu erstellen oder zu überschreiben – darunter potenziell sensitive Systemdateien wie /etc/passwd oder SSH-Schlüssel.

Read More