Severní Korea napadla npm balíček axios: 100 milionů stažení týdně a OpenAI v ohrožení

Útočníci napojení na Severní Koreu kompromitovali axios — nejpopulárnější JavaScriptovou knihovnu s více než 100 miliony stažení týdně. Útok zasáhl i OpenAI, která musí obnovit certifikáty všech macOS aplikací. Český vývojář nebo technologická firma, která nezkontrolovala své závislosti, může mít v systémech aktivní backdoor.

Málokterý kybernetický útok v historii dosáhl takového rozsahu potenciálního dopadu. Mezi 31. březnem 2026 ve 00:21 a 03:20 UTC útočníci napojení na Severní Koreu vložili do populárního npm balíčku axios verze 1.14.1 škodlivý kód. Axios je JavaScriptová knihovna pro HTTP požadavky a patří k nejvíce používaným open-source nástrojům na světě — verze 1.x má přes 100 milionů stažení týdně, starší větev 0.x dalších 83 milionů. Jinými slovy: skoro každá moderní webová aplikace, mobilní backend nebo CI/CD pipeline axios buď přímo používá, nebo na něm závisí prostřednictvím jiné závislosti.

Google Threat Intelligence Group (GTIG) útok přisoudil skupině UNC1069, která je aktivní od roku 2018 a specializuje se na krádeže kryptoměn a průniky do AI společností. Tentokrát skupina zvolila obzvláště zákeřnou taktiku: kompromitovala účet správce axios balíčku na npm, změnila e-mailovou adresu správce a do nové verze vložila škodlivou závislost plain-crypto-js 4.2.1. Tato závislost po instalaci tiše spustí backdoor WAVESHAPER.V2 na všech třech hlavních operačních systémech — Windows, macOS i Linux.

Jak útok fungoval a proč je tak nebezpečný

Útočníci využili mechanismus postinstall hook — standardní funkci npm, která umožňuje spustit skript automaticky po instalaci balíčku. Kdykoli vývojář nebo CI/CD systém nainstaloval kompromitovaný axios, na pozadí se tiše spustil obfuskovaný JavaScript dropper pojmenovaný setup.js. Ten detekoval operační systém a stáhl odpovídající payload z útočného serveru sfrclak[.]com.

Backdoor WAVESHAPER.V2 je plnohodnotný vzdálený přístupový nástroj (RAT). Po instalaci se každých 60 sekund hlásí útočnému serveru a čeká na instrukce. Útočníci mohou číst obsah souborů a adresářů, spouštět libovolné příkazy, injektovat spustitelné soubory do paměti a na Windows přidává perzistenci přes registr pod falešným názvem MicrosoftUpdate. Backdoor se zároveň pokouší smazat stopy po sobě — přepíše modifikovaný package.json zpět na původní verzi a odstraní dropper. Čistá, profesionální operace.

Útok byl aktivní jen necelé 3 hodiny, než byl odhalen a kompromitované verze staženy. To ale neznamená, že byl neúčinný — za tu dobu mohly stovky tisíc vývojářů a CI/CD systémů automaticky stáhnout a nainstalovat infikovanou verzi. Každý vývojář, každý buildovací server, každá cloudová pipeline, která v onom okně nainstalovala axios 1.14.1, může mít v systému aktivní backdoor.

OpenAI musí obnovit certifikáty ChatGPT a Codexu

Jednou z potvrzených obětí je OpenAI. Axios byl součástí GitHub Actions workflow, které OpenAI používá k podepisování macOS aplikací — ChatGPT Desktop, Codex, Codex CLI a Atlas. Tento workflow měl přístup k podpisovému certifikátu a notarizačním materiálům. OpenAI ve svém prohlášení uvádí, že nenalezla důkazy o skutečné exfiltraci certifikátu, ale jako preventivní opatření certifikát revokuje a vydává nové verze všech aplikací.

Praktický dopad: od 8. května 2026 přestanou fungovat starší verze ChatGPT Desktop, Codex a dalších macOS aplikací OpenAI. Uživatelé musí aktualizovat na verze podepsané novým certifikátem — ChatGPT Desktop 1.2026.051 nebo novější, Codex App 26.406.40811 nebo novější. OpenAI explicitně varuje: stahujte aplikace pouze z oficiálních zdrojů, ne z e-mailů, odkazů v chatech nebo třetích stran.

Dopad tohoto útoku ze strany aktérů napojených na Severní Koreu je rozsáhlý a má vlnový efekt, protože mnoho dalších populárních balíčků závisí na axiosu jako své závislosti. Stovky tisíc ukradených tajemství by potenciálně mohly cirkulovat jako výsledek těchto nedávných útoků.

Nejde o ojedinělý případ: supply chain útoky se množí

GTIG upozorňuje, že UNC1069 není jedinou skupinou, která v posledních týdnech úspěšně provedla supply chain útok. Skupina UNC6780 (známá také jako TeamPCP) otrávila GitHub Actions workflows a PyPI balíčky projektů jako Trivy, Checkmarx a LiteLLM backdoorem SANDCLOCK určeným ke krádeži přihlašovacích údajů. Je zřejmé, že open-source ekosystém se stal primárním terčem státem sponzorovaných útočníků — a to z dobrého důvodu. Jediný kompromitovaný populární balíček může v řádu hodin zasáhnout miliony vývojářů a tisíce firem.

Pro české firmy a vývojáře to má konkrétní význam: nestačí zabezpečit vlastní kód. Celý dodavatelský řetězec softwaru — každá knihovna třetí strany, každý npm balíček, každý Docker image — je potenciálním vstupním bodem pro útočníka. A v případě státem sponzorovaných skupin jako UNC1069 nebo UNC6780 hovoříme o profesionálních hackerech s neomezenými zdroji a strategickými cíli.

Co musíte udělat ihned

• Zkontrolujte package-lock.json a yarn.lock — hledejte axios verze 1.14.1 nebo 0.30.4 a balíček plain-crypto-js verze 4.2.0 nebo 4.2.1.
• Pokud infikovanou verzi najdete, předpokládejte kompromitaci systému. Izolujte stroj, rotujte všechny přihlašovací údaje, API klíče a tokeny přítomné v daném prostředí.
• Zablokujte provoz na doménu sfrclak[.]com a IP adresu 142.11.206.73 na všech firewallech a network filtrech.
• Zmrazte CI/CD pipeline pro projekty závislé na axiosu a před znovuspuštěním ověřte, že buildovací systémy nepoužívají kompromitované verze.
• Nastavte version pinning — v package.json vždy fixujte na konkrétní verzi (1.14.0 nebo starší), nikdy nepoužívejte plovoucí ^1.14 nebo latest.
• Aktualizujte ChatGPT Desktop a ostatní macOS aplikace OpenAI na nejnovější verzi — stará verze přestane fungovat 8. května 2026.
• Nasaďte EDR (Endpoint Detection and Response) na vývojářské stanice a buildovací servery, pokud tak ještě nemáte učiněno.

Klíčový problém, který tento útok odhalil, je strukturální: npm ekosystém implicitně důvěřuje každému balíčku, který byl podepsán legitimním správcem. Jakmile útočník kompromituje správcův účet, může vložit škodlivý kód do balíčku s miliony stažení — a většina firem o tom vůbec neví, protože přesně to zákeřný postinstall hook skrývá. Google GTIG proto doporučuje přejít na striktní pinning na úrovni commit hashů v GitHub Actions a nastavit minimální věk pro nové verze balíčků před jejich automatickým stažením. Tato opatření by útočníkovi znemožnila dodat payload v tak krátkém časovém okně.

Zpráva je jasná: kybernetická bezpečnost v roce 2026 již není jen otázkou antivirů a hesel. Je to otázka pečlivé správy celého softwarového dodavatelského řetězce, od kódu prvního vývojáře po produkční server. Severní Korea — i bez jaderné zbraně v kyberprostoru — ukázala, že dokáže zasáhnout stovky tisíc cílů najednou prostřednictvím jednoho kompromitovaného správce npm balíčku.