Este incidente representa un ataque a la cadena de suministro de software altamente sofisticado y dirigido, explotando la confianza en el ecosistema npm y la gestión de credenciales de mantenedores. La causa raíz fue el compromiso de las credenciales de npm de un mantenedor principal de Axios, lo que permitió al atacante publicar versiones maliciosas de la biblioteca. El atacante eludió las salvaguardas estándar al no usar el pipeline CI/CD de GitHub Actions del proyecto, que habría utilizado OIDC Trusted Publisher para vincular criptográficamente la publicación a un flujo de trabajo verificado. En su lugar, se utilizó un token de acceso npm clásico de larga duración, que carece de estas garantías.
La cascada de fallo se inició con la inyección de una dependencia fantasma ('plain-crypto-js') que no era utilizada por el código de Axios, pero cuyo único propósito era ejecutar un script 'postinstall'. Este script actuó como un dropper de RAT multiplataforma, diseñado para evadir la detección estática y forense mediante ofuscación de código, auto-eliminación y reemplazo de archivos de manifiesto. La sofisticación operativa se evidenció en la pre-escenificación de la dependencia maliciosa, la orientación a múltiples sistemas operativos con payloads específicos y la técnica de daemonización ('nohup') para persistir y evadir la atribución de procesos en los logs de CI/CD.
Las salvaguardas fallaron principalmente en la capa de autenticación y autorización de npm para la publicación de paquetes, permitiendo que un token de acceso comprometido anulara los mecanismos de publicación segura basados en OIDC. Además, la falta de verificación de la integridad del proceso de publicación (ej. ausencia de 'gitHead' o 'trustedPublisher' en los metadatos de npm) no fue detectada a tiempo por los consumidores. La confianza implícita en los scripts 'postinstall' de las dependencias también fue un vector clave, ya que estos se ejecutan automáticamente sin intervención del usuario, incluso antes de que se complete la resolución de todas las dependencias, lo que permitió al malware establecer una conexión C2 muy temprano en el ciclo de instalación.