Van npm-pakket tot AI-app: hoe aanvallers vertrouwen misbruiken

De incidenten rond Axios en de nep-Claude-apps van SilverFox lijken op het eerste gezicht weinig met elkaar te maken te hebben. In het ene geval werd een veelgebruikte softwareafhankelijkheid misbruikt; in het andere geval deden aanvallers zich voor als een bekende AI-dienst.

Toch was de kern hetzelfde: malware werd verpakt in iets dat gebruikers en systemen normaal gesproken vertrouwen. Geen van beide incidenten betekent dat de legitieme Axios-bibliotheek of Anthropic-producten op zichzelf kwaadaardig zijn. Bij Axios ging het om twee specifieke gecompromitteerde releases; SilverFox verspreidde vervalste installatieprogramma’s.

Wat gebeurde er op 31 maart met Axios?

Een aanvaller kreeg toegang tot de publicatierechten van een belangrijke Axios-onderhouder op npm, de pakketregistratie voor JavaScript. Vervolgens verschenen twee besmette versies: axios@1.14.1 en axios@0.30.4. Beide versies bevatten de verborgen afhankelijkheid plain-crypto-js@4.2.1. Die code was niet nodig voor de normale werking van Axios, maar diende om kwaadaardige installatiecode uit te voeren.

Het installatieproces nam contact op met infrastructuur van de aanvallers en haalde een remote-access-trojan (RAT) op die Windows, macOS en Linux kon aanvallen. Een gewone pakketinstallatie kon zo het begin worden van een bredere inbraak.

De besmette versies stonden ongeveer drie uur online. Google Threat Intelligence Group registreerde activiteit tussen 00.21 en 03.20 uur UTC op 31 maart; andere incidentanalyses beschrijven een vergelijkbaar tijdsvenster van twee tot drie uur. Axios is bovendien een zeer breed gebruikte bibliotheek. Schattingen lopen uiteen van ongeveer 80 miljoen tot meer dan 100 miljoen npm-downloads per week.

Hoe het account werd misbruikt

De beschikbare openbare informatie wijst vooral op een overgenomen npm-account of gecompromitteerde publicatiegegevens, niet op een kwetsbaarheid in de Axios-code zelf. Een rapport spreekt specifiek over een lang geldige npm-toegangstoken van de hoofdonderhouder; andere analyses houden het bij een overgenomen account of publicatiecredentials.

Dat onderscheid is belangrijk. De aanval brak door de vertrouwensgrens tussen de publicatierechten van een onderhouder en de releasepijplijn van npm. Omdat de pakketten via een legitiem account werden gepubliceerd, hadden ontwikkelaars en geautomatiseerde systemen minder aanleiding om ze als verdacht te markeren.

Wat deed de kwaadaardige afhankelijkheid?

plain-crypto-js@4.2.1 was vermomd als een normale pakketafhankelijkheid, maar was uitsluitend bedoeld om een postinstall-script uit te voeren. Dat script nam contact op met een command-and-controlserver en haalde een tweede payload op die was afgestemd op het besturingssysteem van het doelwit.

Daarvoor hoefde een ontwikkelaar dus geen duidelijk verdacht uitvoerbaar bestand te openen. De besmetting kon optreden tijdens een gewone dependency-update, een CI-build of een automatische

npm install

Was BlueNoroff verantwoordelijk?

De toeschrijving is niet definitief vastgesteld. Sommige rapporten leggen verbanden met Noord-Koreaans gelieerde actoren, waaronder BlueNoroff of verwante groepen. Microsoft schreef de aanval toe aan Sapphire Sleet.

Die beoordelingen mogen niet als één bewezen conclusie worden gepresenteerd. Overeenkomsten in code, infrastructuur en werkwijze kunnen een aanwijzing voor attributie zijn, maar bewijzen op zichzelf niet welke groep de aanval uitvoerde. De voorzichtige conclusie luidt dat bij Axios een onderhouderaccount werd gekaapt, besmette releases werden gepubliceerd en een cross-platform RAT werd verspreid. Over de verantwoordelijke actor lopen de openbare beoordelingen uiteen.

Hoe SilverFox nepversies van Claude verspreidde

SilverFox koos een andere toegangsroute: de groep verspreidde vervalste Claude-applicaties voor Windows, macOS en Linux. De campagne richtte zich op organisaties in de industriële sector, consultancy, handel en transport in India, Indonesië, Zuid-Afrika en Rusland.

De apps deden zich voor als Anthropic’s Claude, maar waren geen officiële installatieprogramma’s. De aanval leunde op een geloofwaardig scenario: een medewerker zoekt een AI-productiviteitstool, downloadt wat een bekende applicatie lijkt en installeert in werkelijkheid malware. Kaspersky beschreef de campagne als onderdeel van SilverFox-activiteiten die sinds december 2025 in meerdere golven zijn waargenomen.

Van belastingphishing naar AI-lokmiddelen

De campagne bouwde voort op eerdere phishing rond belastingen. In januari en februari 2026 registreerden onderzoekers meer dan 1.600 kwaadaardige e-mails die zich voordeden als officiële berichten over een belastingcontrole of beweerden een lijst met belastingovertredingen te bevatten.

De verspreidingsmethode veranderde, maar het vertrouwenssignaal bleef herkenbaar. Een belastingbericht wekt urgentie en gezag; een merkgebonden AI-assistent sluit aan bij de behoefte aan gemak en productiviteit. Beide kunnen ontvangers ertoe bewegen een bijlage te openen, een archief te downloaden of software te installeren voordat de afzender en herkomst zijn gecontroleerd.

SilverFox gebruikte een meerfasig leveringsmodel met afzonderlijke infrastructuur voor verschillende stappen van de inbraak. Daardoor wordt het lastiger om de volledige aanvalsketen via één domein of indicator te herkennen en te blokkeren.

De gezamenlijke les: vertrouwen hoort bij het aanvalsoppervlak

De Axios- en SilverFox-campagnes richtten zich op verschillende vertrouwensrelaties:

• Vertrouwen in de onderhouder: Axios-releases leken via een geautoriseerde npm-uitgever te komen.
• Vertrouwen in afhankelijkheden: de pakketbeheerder behandelde de kwaadaardige code als onderdeel van een normale installatie.
• Vertrouwen in merken: nepinstallatieprogramma’s leenden de identiteit van een herkenbaar AI-product.
• Vertrouwen in werkprocessen: ontwikkelaars en medewerkers volgden routinematige handelingen, zoals dependencies bijwerken of productiviteitsoftware installeren.

De Axios-zaak laat zien waarom een korte blootstellingstijd toch grote gevolgen kan hebben. Pakketinstallaties en CI-jobs verlopen vaak automatisch; het bereik is daardoor niet beperkt tot mensen die een release handmatig controleren. De SilverFox-campagne laat hetzelfde principe aan de eindpuntkant zien: snel ingeburgerde softwarecategorieën leveren aanvallers geloofwaardige nieuwe lokmiddelen op.

Wat organisaties nu kunnen doen

Controleer voor het Axios-incident lockfiles, pakketmanifesten, buildlogs, caches en dependency-inventarissen op axios@1.14.1, axios@0.30.4 en plain-crypto-js@4.2.1. Onderzoek elke machine waarop tijdens het blootgestelde tijdsvenster een getroffen versie is geïnstalleerd op gedownloade payloads, ongeautoriseerde persistentie en gelekte inloggegevens. Beveiligingsadviezen raden expliciet aan zulke installaties als mogelijk gecompromitteerd te behandelen.

Voor AI-software moeten organisaties medewerkers verplichten desktopapps via goedgekeurde kanalen te verkrijgen. Controleer daarbij de uitgever en het download­domein en blokkeer of isoleer niet-goedgekeurde installatieprogramma’s.

Voor npm-publicaties helpen phishingbestendige multifactor-authenticatie, kortdurende of strikt beperkte credentials, release-provenance, lockfiles en controle van dependencywijzigingen om het risico te verkleinen dat één overgenomen account uitgroeit tot een supply-chain-aanval.

De bredere maatregel is verificatie bij elke vertrouwensgrens. Een bekende pakketnaam bewijst niet dat elke release veilig is. En een bekende productnaam bewijst evenmin dat elk installatieprogramma echt is.