Популярная библиотека Axios оказалась заражена трояном через npm

Популярная библиотека Axios оказалась заражена трояном через npm

Популярная библиотека Axios оказалась заражена трояном через npm

Популярная JavaScript-библиотека Axios оказалась жертвой атаки на цепочку поставок: злоумышленник скомпрометировал npm-аккаунт одного из ведущих мейнтейнеров и через него опубликовал две вредоносные версии пакета — axios@1.14.1 и axios@0.30.4.

По данным исследователей, обе сборки распространяли скрытый троян для macOS, Windows и Linux. Axios при этом остаётся одной из самых популярных библиотек в экосистеме npm — её скачивают примерно 100 млн раз в неделю.

В заражённые версии Axios добавили всего одну новую зависимость — plain-crypto-js@4.2.1, замаскированную под легитимную библиотеку crypto-js. При этом в исходном коде Axios эта зависимость никак не использовалась: её задачей был запуск postinstall-скрипта, который связывался с управляющим сервером, скачивал вредоносную нагрузку под конкретную ОС и затем зачищал следы своей работы.

Атака развивалась поэтапно. Сначала в npm загрузили «чистую» приманку plain-crypto-js, чтобы создать историю публикаций, а затем — уже заражённую версию. После этого через взломанный аккаунт мейнтейнера были опубликованы две вредоносные версии Axios — сначала для ветки 1.x, а затем для старой, но всё ещё популярной ветки 0.x. То есть атакующий накрыл сразу оба основных сценария использования библиотеки.

Согласно анализу, вредоносный код начинал сетевую активность почти сразу после установки пакета. На macOS троян маскировался под системный процесс Apple, на Windows использовал PowerShell и скрытый скрипт, а на Linux разворачивал Python-бэкдор во временной директории. После этого вредоносный модуль удалял собственные файлы и подменял их «чистой» заглушкой, чтобы при поверхностной проверке установленный пакет не вызывал подозрений.

Вредоносные версии, по имеющимся данным, оставались доступными в npm примерно два-три часа, после чего их удалили, а пакет plain-crypto-js попал под блокировку. При этом заражённые релизы не появились среди тегов GitHub-репозитория Axios, что указывает на публикацию напрямую в npm в обход обычного CI/CD-пайплайна проекта.

Российским школьникам ограничили время работы за компьютером на уроках

Роспотребнадзор установил рекомендуемую продолжительность работы школьников за компьютерами и интерактивными досками. Лимит зависит от возраста: чем младше ребёнок, тем быстрее экран должен исчезнуть из его поля зрения. Ученикам 1-2-х классов разрешается проводить за компьютером не более 20 минут за один урок.

Для 3-4-х классов предел составляет 25 минут, для 5-9-х — 30 минут. Старшеклассникам досталось больше всех: учащиеся 10-11-х классов смогут работать за экраном до 35 минут, передают «РИА Новости».

Отдельные ограничения предусмотрены для интерактивных досок. Детям младше 10 лет рекомендуют пользоваться ими не дольше 20 минут, школьникам старше 10 лет — максимум 30 минут.

При использовании электронных средств обучения на уроках и переменах ученикам необходимо выполнять гимнастику для глаз. Если занятия проходят по старинке, с бумажными учебниками, упражнения рекомендуют делать во время перемен.

С 1 сентября 2026 года в российских школах также официально закрепят запрет на мобильные телефоны во время занятий. Что делать со смартфонами на переменах, каждая школа решит самостоятельно.

RSS: Новости на портале Anti-Malware.ru