Axios: pacchetto JavaScript trasformato in un cavallo di Troia
Una libreria JavaScript usatissima è stata «avvelenata» da chi aveva preso il controllo dell'account del suo manutentore. Chi ha installato le versioni sbagliate ha dovuto cambiare le proprie credenziali.
Scheda aggiornata al 21 ottobre 2026 Seguito nel tempo Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Seguiamo il caso ogni settimana, anche dopo che la stampa smette di occuparsene.
Data di inizio dell'evento: 30–31 marzo 2026 · Ultimo controllo delle fonti: 21 ottobre 2026
- Scheda creata. Ultimo sviluppo che risulta dalle fonti consultate: le prime analisi di Microsoft e Sophos (fine marzo 2026). Non abbiamo ancora verificato eventuali sviluppi successivi.
- Pubblicate le due versioni malevole di Axios; Microsoft e Sophos pubblicano le prime analisi.
Tre cose da sapere
Che cosa è successo
Sono state pubblicate sul registro pubblico npm due versioni malevole di Axios (1.14.1 e 0.30.4). Aggiungevano un componente che, durante l'installazione, scaricava un programma per controllare il computer da remoto.
Che cosa ha comportato
Il software colpiva sistemi Windows, macOS e Linux, e cercava di cancellare le proprie tracce. Le versioni sicure sono la 1.14.0 e la 0.30.3.
Che cosa non si sa
Come l'attaccante abbia preso il controllo dell'account del manutentore e quanti sistemi abbiano davvero installato le versioni malevole.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| Il 31 marzo 2026 sono state pubblicate su npm due versioni malevole di Axios: la 1.14.1 e la 0.30.4. Le ultime versioni sicure sono la 1.14.0 e la 0.30.3. | Confermato | [1] [2] |
| Le versioni malevole aggiungevano una dipendenza (plain-crypto-js) con uno script eseguito all'installazione, che contattava un server dell'attaccante e scaricava un programma di accesso remoto per Windows, macOS o Linux. | Confermato | [1] [2] |
| Dopo l'esecuzione il programma cancellava le tracce dell'installazione e rimpiazzava i propri file di descrizione con una versione pulita, per non farsi notare. | Confermato | [1] [2] |
| Le versioni malevole erano state pubblicate senza la normale catena di rilascio automatizzata del progetto (nessun legame con il repository e con la procedura di pubblicazione ufficiale). | Dichiarato | [1] |
| Secondo Sophos, la causa è «l'apparente presa di controllo» dell'account di un manutentore legittimo. Come sia avvenuta non è confermato. | Riportato dalla stampa | [2] |
| Microsoft attribuisce la campagna a «Sapphire Sleet», un gruppo di Stato nordcoreano interessato a finanza e criptovalute; Sophos ritiene «molto probabile» la responsabilità di un altro gruppo nordcoreano, chiamato NICKEL GLADSTONE. | Ipotesi | [1] [2] |
| Al momento della pubblicazione del suo articolo, Sophos non aveva evidenze di attività successive. | Riportato dalla stampa | [2] |
- Come l'attaccante abbia ottenuto l'accesso all'account del manutentore (non confermato nelle fonti consultate).
- Quanti sistemi abbiano installato le versioni malevole e quali credenziali siano state rubate.
- Per quanto tempo le versioni siano rimaste scaricabili: le fonti consultate non lo indicano in modo uniforme.
Considerazioni generali, valide per qualunque organizzazione: non sono conclusioni sull'azienda colpita.
- Le librerie esterne sono parte della propria sicurezza: conviene fissare le versioni (non aggiornare automaticamente a ciò che è stato pubblicato da poche ore) e disattivare l'esecuzione automatica di script all'installazione dove possibile.
- Se una versione malevola è stata installata, il rimedio non è solo tornare indietro: le credenziali e i segreti presenti su quel computer o sul sistema di build vanno cambiati.
- Chi mantiene un software molto usato ha bisogno di protezioni forti sull'account di pubblicazione (autenticazione a più fattori, chiavi di breve durata, pubblicazione solo da procedure automatiche).
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | Microsoft Security Blog | Analisi del compromesso del pacchetto npm Axios | — | Versioni, comportamento del malware, attribuzione, raccomandazioni. |
| [2] | Sophos | axios npm package compromised to deploy malware | — | Cronologia della scoperta, versioni, attribuzione, raccomandazioni. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Frigoriferi a 50 °C: l'attacco ai supermercati francesi · notte tra l'11 e il 12 ottobre 2026
- ASOS: notifica falsa nell'app e dati di clienti su piattaforme esterne · 6 ottobre 2026
- Brevo: accessi ai clienti e script alterati sui siti collegati · 9–14 settembre 2026
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto