해커들이 인터넷의 대부분에서 사용하는 코드 라이브러리 axios에 트로이목마를 몰래 넣었습니다. 귀사의 팀도 아마 영향받았을 가능성이 있습니다

공격자는 오래된 npm 액세스 토큰을 훔쳐 axios의 리드 유지관리자 계정(@jasonsaayman)을 장악했다.

공격자는 npm CLI로 악성 axios 버전 두 개를 배포했고 plain-crypto-js@4.2.1 의존성을 추가했으며 두 릴리스는 39분 이내에 올라와 레지스트리에 약 3시간 동안 유효했다.

postinstall 스크립트는 macOS·Windows·Linux용으로 사전 빌드된 크로스 플랫폼 원격접근 트로이목마(RAT)를 설치했으며 해당 패키지는 postinstall 실행만을 위해 존재했다.

악성코드는 실행 후 자체 삭제하고 깨끗한 package.json으로 교체해 포렌식을 어렵게 했고, 노출 기간에 Huntress 고객 최소 135대가 감염됐다.

Axios는 주당 1억 회 이상 다운로드되고 약 80%의 클라우드·코드 환경에 존재한다. 이번은 7개월 내 세 번째 주요 npm 공급망 침해이며 모든 사건에서 유지관리자 자격증명이 악용됐다.