Google cho rằng cuộc tấn công chuỗi cung ứng của axios là do tổ chức Triều Tiên UNC1069 thực hiện, liên quan đến các phụ thuộc độc hại và việc triển khai cửa hậu đa nền tảng

Nhóm Threat Intelligence của Google (GTIG) đã tiết lộ một sự kiện tấn công chuỗi cung ứng nhắm vào axios; trong khoảng thời gian từ 00:21 đến 03:20 UTC ngày 31 tháng 3 năm 2026, kẻ tấn công đã cài cắm một phụ thuộc độc hại “plain-crypto-js” vào các phiên bản axios NPM 1.14.1 và 0.30.4, bằng cách thực thi script làm rối thông qua postinstall để triển khai backdoor WAVESHAPER.V2 thông qua postinstall setup.js, ảnh hưởng đến các hệ thống Windows, macOS và Linux. Backdoor này hỗ trợ thu thập thông tin, thực thi lệnh và duyệt tệp, và giao tiếp thông qua C2 (sfrclak[.]com / 142 11 206 73); GTIG, dựa trên việc WAVESHAPER.V2 được sử dụng và sự trùng lặp về hạ tầng, đã quy kết cuộc tấn công này cho tổ chức có nền tảng Triều Tiên UNC1069 hoạt động từ năm 2018. Sự kiện bắt nguồn từ việc tài khoản của người duy trì axios bị xâm nhập và bị sửa đổi cấu hình phụ thuộc. Khuyến nghị chính thức là tránh sử dụng các phiên bản bị ảnh hưởng và thực hiện kiểm toán phụ thuộc, cô lập các hệ thống bị ảnh hưởng và luân chuyển chứng chỉ.