Napadač je 30. marta kompromitovao npm nalog jednog od vodećih maintainer-a Axios biblioteke i iskoristio ga da objavi dve zaražene verzije. Prema firmi StepSecurity, reč je o izdanjima [email protected] i [email protected], koja su uticala na uređaje razvijaca na macOS, Windows i Linux platformama. Axios se na npm-u preuzima oko 100 miliona puta nedeljno.
Maliciozne verzije dodale su skrivenu zavisnost [email protected], koja nije korišćena u Axios kodu. Njena uloga bila je pokretanje postinstall skripte koja se povezala na C2 server (sfrclak.com), preuzela RAT payload za konkretnu platformu i zatim uklonila tragove. Aktivnost je trajala oko 2 do 3 sata pre povlačenja paketa, a StepSecurity, Snyk, Wiz i Vercel preporučuju tretiranje pogođenih sistema kao potpuno kompromitovanih i hitnu rotaciju akreditiva.