31 thg 3, 2026

Cuộc Compromise Axios npm: Đòn Tấn công Supply Chain Từ Bắc Hàn

Ngày 31/3/2026, nhóm APT Bắc Hàn Sapphire Sleet đã xâm phạm các package Axios trên npm, phát tán malware cài đặt RAT trên máy developer toàn cầu.

Bảo mật

Thẻ (6)

# security # supply-chain # north-korea # npm # axios # apt

Ngày 31 tháng 3 năm 2026, hai phiên bản độc hại của thư viện HTTP client phổ biến Axios đã được xuất bản lên npm. Axios có hơn 70 triệu lượt tải mỗi tuần, khiến nó trở thành mục tiêu giá trị cho tấn công mạng. Các phiên bản bị lỗi (1.14.1 và 0.30.4) chứa phụ thuộc độc hại âm thầm tải về và cài đặt trojan truy cập từ xa (RAT) từ máy chủ kiểm soát của Bắc Hàn.

Microsoft Threat Intelligence gán cuộc tấn công này cho Sapphire Sleet, một nhóm có hỗ trợ của chính quyền Bắc Hàn, nổi tiếng với các cuộc tấn công vào tổ chức tài chính và tiền điện tử.

Vector tấn công: làm nhiễu phụ thuộc thầm lặng

Kẻ tấn công sử dụng kỹ thuật tinh vi:

1. Tạo một package npm độc hại [email protected] chứa script post-install (setup.js).
2. Phát hành một phiên bản sạch [email protected] trước để xây dựng lịch sử xuất bản, tránh nghi ngờ.
3. Sau đó xuất bản hai bản cập nhật Axios (1.14.1 và 0.30.4) thêm plain-crypto-js@^4.2.1 như là phụ thuộc — không thay đổi source code Axios.
4. Script post-install của phụ thuộc này tự động chạy khi npm install hoặc npm update, tải về RAT giai đoạn hai.

Điểm then chốt: mã độc không chạy trong chính Axios, chỉ tồn tại trong script install của phụ thuộc. Điều này giúp hành vi ứng dụng lại không thay đổi, trong khi malware âm thầm cài đặt.

Triển khai RAT đa nền tảng

Payload RAT được phân phối tới Windows, macOS, và Linux, với stager phù hợp từng nền tảng:

• Windows: VBScript stager → PowerShell RAT (6202033.ps1) → Định sự ở %PROGRAMDATA%\wt.exe và registry Run.
• macOS: AppleScript thả binary native tới /Library/Caches/com.apple.act.mond.
• Linux/Other: Python payload /tmp/ld.py chạy qua nohup.

Tất cả giao tiếp với cùng một máy chủ C2: hxxp://sfrclak[.]com:8000/6202033 (IP: 142.11.206.73, VPS từ Hostwinds).

RAT thu thập thông tin hệ thống, duy trì persistence, và cho phép attacker thực thi lệnh tùy ý, liệt kê file, chèn thêm payload, và tắt theo yêu cầu.

Tại sao điều này nguy hiểm

• Quy mô: Với 70 triệu+ lượt tải mỗi tuần, ngay cả một phần nhỏ cài bản độc hại cũng ảnh hưởng hàng trăm nghìn máy developer và CI/CD pipeline.
• Ẩn mình: Attack để lại ít dấu vết; loader tự xóa sau khi chạy, và manifest được thay thế bằng package.json trông bình thường.
• Niềm tin: Axios là thành phần thiết yếu trong hệ sinh thái JavaScript. Nhiều dự án phụ thuộc trực tiếp hoặc gián tiếp, biến nó thành vector phù hợp.
• Động cơ tài chính: Sapphire Sleet nhắm vào ví tiền điện tử và tổ chức tài chính. Máy developer bị xâm phạm cung cấp credentials để tiếp cận mục tiêu giá trị.

Sapphire Sleet là ai?

Sapphire Sleet (còn được gọi là UNC1069, STARDUST CHOLLIMA, Alluring Pisces, BlueNoroff, CageyChameleon, CryptoCore) là nhóm APT có liên quan đến Bắc Hàn, hoạt động từ ít nhất năm 2020. Mục tiêu chính là khu vực tài chính — tiền điện tử, đầu tư mạo hiểm, blockchain — nhằm tạo thu nhập cho chế độ.

Họ nổi tiếng với:

• Social engineering qua LinkedIn
• Liên kết độc hại giả mạo dịch vụ hợp pháp
• Lưu trữ payload trên cloud storage (OneDrive, Google Drive)
• Cuộc tấn công đa giai đoạn tinh vi

Các bước khắc phục

Nếu bạn hoặc tổ chức dùng Axios:

1. Ngay lập tức hạ cấp về phiên bản an toàn:
   • [email protected] hoặc cũ hơn (dòng 1.x)
   • [email protected] hoặc cũ hơn (dòng 0.x)
2. Xóa ^ và ~ khỏi package.json — dùng exact version để ngăn auto-updates.
3. Xóa cache npm: npm cache clean --force.
4. Quét tìm phiên bản bị lỗi:
   • Tìm kiếm plain-crypto-js trong node_modules trên máy developer
   • Kiểm tra log CI/CD cho các lần cài [email protected] hoặc [email protected]
5. Xoay vòng tất cả secrets có thể bị lộ trên hệ thống bị ảnh hưởng.
6. Kiểm tra network logs cho outbound tới sfrclak.com:8000 hoặc 142.11.206.73.
7. Cân nhắc disable postinstall scripts trong môi trường production (npm ci --ignore-scripts).

Phòng thủ dài hạn

• Kích hoạt Trusted Publishing với OIDC để loại bỏ credentials npm đã lưu.
• Dùng private npm registry với quét lỗ hổng.
• Triển khai quét tự động dependencies (Dependabot, Snyk) với cảnh báo khi có releases mới.
• Khóa dependencies quan trọng và yêu cầu review thủ công khi nâng cấp.
• Đào tạo developer về rủi ro của auto-updating dependencies từ publisher không tin cậy.

Nguồn

• Microsoft Security Blog: “Mitigating the Axios npm supply chain compromise” (1/4/2026)
• Huntress: Phân tích tác động
• SANS Internet Storm Center
• Datadog Security Labs

Lưu ý: Sự cố này nhấn mạnh rằng software supply chains là hạ tầng quan trọng. Ngay cả thư viện tin cậy nhất cũng có thể trở thành vũ khí trong tay các đối tủ tinh vi. Hãy thận trọng.

Cập nhật (22/4/2026): Chỉ ba tuần sau vụ xâm phạm Axios này, một con sâu npm tự lây lan mới có tên CanisterWorm đã xuất hiện, chứng minh rằng các cuộc tấn công chuỗi cung ứng đang tiến hóa từ những sự cố biệt lập sang những mối đe dọ tự động, lây lan nhanh chóng. Hệ sinh thái vẫn đang bị bao vây một cách chủ động.