El incidente de Axios fue una sofisticada violación de la cadena de suministro de software, enraizada en un ataque de ingeniería social dirigido al mantenedor principal. El atacante obtuvo acceso al PC del mantenedor a través de malware RAT, lo que les permitió el control unilateral de la máquina y, por extensión, de las credenciales de npm, incluso con 2FA habilitado. Este acceso se utilizó para publicar dos versiones maliciosas de Axios (1.14.1 y 0.30.4) que inyectaron una dependencia (plain-crypto-js@4.2.1) para instalar un troyano de acceso remoto.
La cascada de fallos comenzó con el compromiso inicial del dispositivo del mantenedor, que luego condujo a la publicación de paquetes maliciosos. La falta de un mecanismo de detección automatizado para publicaciones no autorizadas significó que la detección dependía completamente de la vigilancia de la comunidad. Aunque la respuesta fue rápida una vez detectado, la ventana de 3 horas de exposición permitió una posible infección generalizada. Las salvaguardas existentes, como 2FA, fueron eludidas debido al control total del atacante sobre la máquina comprometida, lo que subraya la vulnerabilidad de las credenciales almacenadas localmente o accesibles desde un entorno comprometido.
Este incidente destaca la creciente sofisticación de los ataques a la cadena de suministro que se dirigen a mantenedores individuales de proyectos de código abierto de alto impacto. La dependencia de la detección comunitaria y la ausencia de flujos de publicación inmutables o basados en OIDC para paquetes críticos son fallas arquitectónicas significativas. La capacidad del atacante para eliminar informes de problemas iniciales también demuestra la necesidad de mecanismos de monitoreo y alerta fuera del control directo de las credenciales de publicación del proyecto. La causa raíz es el error humano al caer en la ingeniería social, pero las vulnerabilidades sistémicas en el proceso de publicación y la postura de seguridad del proyecto permitieron que el impacto se materializara.