PolinRider: حملة كوريا الشمالية لاختراق سلسلة توريد البرمجيات مفتوحة المصدر
حملة PolinRider المنسوبة لكوريا الشمالية (مجموعة لازاروس) اخترقت 1,951 مستودعًا على GitHub يملكها 1,047 مطورًا مختلفًا حتى نهاية أبريل 2026، وهو رقم تضاعف ثلاث مرات تقريبًا خلال خمسة أسابيع فقط [7][22]. نشر المهاجمون أكثر من 1,700 حزمة npm ضارة ضمن حملة 'مقابلة معدية'، وامتد الهجوم ليشمل أنظمة PyPI وGo وPackagist (P...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
حملة PolinRider المنسوبة لكوريا الشمالية (مجموعة لازاروس) اخترقت 1,951 مستودعًا على GitHub يملكها 1,047 مطورًا مختلفًا حتى نهاية أبريل 2026، وهو رقم تضاعف ثلاث مرات تقريبًا خلال خمسة أسابيع فقط [7][22].
نشر المهاجمون أكثر من 1,700 حزمة npm ضارة ضمن حملة 'مقابلة معدية'، وامتد الهجوم ليشمل أنظمة PyPI وGo وPackagist (PHP) وcrates.io (Rust)، بل وصل إلى مكتبة Axios الشهيرة [5][6][13].
تستخدم الحملة سلسلة هجوم متعددة المراحل تشمل إخفاء أكواد JS في ملفات الإعدادات وملفات الخطوط المزيفة (.woff2)، وتنفيذ أوتوماتيكي عبر مهام VS Code، واسترجاع الحمولات من بيانات معاملات سلسلة الكتل (TRON, Aptos, BSC) مما...
Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com
تمثل حملة PolinRider واحدة من أكثر هجمات سلسلة التوريد مفتوحة المصدر عدوانية وتطورًا من الناحية التقنية، وتُنسب إلى كوريا الشمالية. تم رصدها لأول مرة بواسطة فريق OpenSourceMalware في مارس 2026، وتوسعت بسرعة لتشمل أنظمة حزم متعددة، مما أدى إلى اختراق ما يقرب من 2000 مستودع على GitHub .
الجهة المنفذة وهويتها
تُنسب حملة PolinRider إلى جمهورية كوريا الشعبية الديمقراطية (DPRK) وتتماشى مع مجموعة لازاروس (Lazarus Group). تعمل كحملة فرعية ضمن مجموعة المقابلة المعدية (Contagious Interview) الأوسع (تُعرف أيضًا باسم Famous Chollima) . اندمجت الحملة تشغيليًا مع حملة ذات الصلة، والتي تركز على إساءة استخدام أتمتة مهام VS Code .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "PolinRider: حملة كوريا الشمالية لاختراق سلسلة توريد البرمجيات مفتوحة المصدر"؟
حملة PolinRider المنسوبة لكوريا الشمالية (مجموعة لازاروس) اخترقت 1,951 مستودعًا على GitHub يملكها 1,047 مطورًا مختلفًا حتى نهاية أبريل 2026، وهو رقم تضاعف ثلاث مرات تقريبًا خلال خمسة أسابيع فقط [7][22].
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
حملة PolinRider المنسوبة لكوريا الشمالية (مجموعة لازاروس) اخترقت 1,951 مستودعًا على GitHub يملكها 1,047 مطورًا مختلفًا حتى نهاية أبريل 2026، وهو رقم تضاعف ثلاث مرات تقريبًا خلال خمسة أسابيع فقط [7][22]. نشر المهاجمون أكثر من 1,700 حزمة npm ضارة ضمن حملة 'مقابلة معدية'، وامتد الهجوم ليشمل أنظمة PyPI وGo وPackagist (PHP) وcrates.io (Rust)، بل وصل إلى مكتبة Axios الشهيرة [5][6][13].
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
تستخدم الحملة سلسلة هجوم متعددة المراحل تشمل إخفاء أكواد JS في ملفات الإعدادات وملفات الخطوط المزيفة (.woff2)، وتنفيذ أوتوماتيكي عبر مهام VS Code، واسترجاع الحمولات من بيانات معاملات سلسلة الكتل (TRON, Aptos, BSC) مما...
PolinRider: حملة كوريا الشمالية لاختراق سلسلة توريد البرمجيات مفتوحة المصدر
حملة PolinRider المنسوبة لكوريا الشمالية (مجموعة لازاروس) اخترقت 1,951 مستودعًا على GitHub يملكها 1,047 مطورًا مختلفًا حتى نهاية أبريل 2026، وهو رقم تضاعف ثلاث مرات تقريبًا خلال خمسة أسابيع فقط [7][22]. نشر المهاجمون أكثر من 1,700 حزمة npm ضارة ضمن حملة 'مقابلة معدية'، وامتد الهجوم ليشمل أنظمة PyPI وGo وPackagist (P...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
حملة PolinRider المنسوبة لكوريا الشمالية (مجموعة لازاروس) اخترقت 1,951 مستودعًا على GitHub يملكها 1,047 مطورًا مختلفًا حتى نهاية أبريل 2026، وهو رقم تضاعف ثلاث مرات تقريبًا خلال خمسة أسابيع فقط [7][22].
نشر المهاجمون أكثر من 1,700 حزمة npm ضارة ضمن حملة 'مقابلة معدية'، وامتد الهجوم ليشمل أنظمة PyPI وGo وPackagist (PHP) وcrates.io (Rust)، بل وصل إلى مكتبة Axios الشهيرة [5][6][13].
تستخدم الحملة سلسلة هجوم متعددة المراحل تشمل إخفاء أكواد JS في ملفات الإعدادات وملفات الخطوط المزيفة (.woff2)، وتنفيذ أوتوماتيكي عبر مهام VS Code، واسترجاع الحمولات من بيانات معاملات سلسلة الكتل (TRON, Aptos, BSC) مما...
Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com
تمثل حملة PolinRider واحدة من أكثر هجمات سلسلة التوريد مفتوحة المصدر عدوانية وتطورًا من الناحية التقنية، وتُنسب إلى كوريا الشمالية. تم رصدها لأول مرة بواسطة فريق OpenSourceMalware في مارس 2026، وتوسعت بسرعة لتشمل أنظمة حزم متعددة، مما أدى إلى اختراق ما يقرب من 2000 مستودع على GitHub .
الجهة المنفذة وهويتها
تُنسب حملة PolinRider إلى جمهورية كوريا الشعبية الديمقراطية (DPRK) وتتماشى مع مجموعة لازاروس (Lazarus Group). تعمل كحملة فرعية ضمن مجموعة المقابلة المعدية (Contagious Interview) الأوسع (تُعرف أيضًا باسم Famous Chollima) . اندمجت الحملة تشغيليًا مع حملة ذات الصلة، والتي تركز على إساءة استخدام أتمتة مهام VS Code .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "PolinRider: حملة كوريا الشمالية لاختراق سلسلة توريد البرمجيات مفتوحة المصدر"؟
حملة PolinRider المنسوبة لكوريا الشمالية (مجموعة لازاروس) اخترقت 1,951 مستودعًا على GitHub يملكها 1,047 مطورًا مختلفًا حتى نهاية أبريل 2026، وهو رقم تضاعف ثلاث مرات تقريبًا خلال خمسة أسابيع فقط [7][22].
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
حملة PolinRider المنسوبة لكوريا الشمالية (مجموعة لازاروس) اخترقت 1,951 مستودعًا على GitHub يملكها 1,047 مطورًا مختلفًا حتى نهاية أبريل 2026، وهو رقم تضاعف ثلاث مرات تقريبًا خلال خمسة أسابيع فقط [7][22]. نشر المهاجمون أكثر من 1,700 حزمة npm ضارة ضمن حملة 'مقابلة معدية'، وامتد الهجوم ليشمل أنظمة PyPI وGo وPackagist (PHP) وcrates.io (Rust)، بل وصل إلى مكتبة Axios الشهيرة [5][6][13].
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
تستخدم الحملة سلسلة هجوم متعددة المراحل تشمل إخفاء أكواد JS في ملفات الإعدادات وملفات الخطوط المزيفة (.woff2)، وتنفيذ أوتوماتيكي عبر مهام VS Code، واسترجاع الحمولات من بيانات معاملات سلسلة الكتل (TRON, Aptos, BSC) مما...
1,951 مستودعًا مخترقًا على GitHub يملكها 1,047 مالكًا فريدًا حتى أواخر أبريل 2026
تضاعف عدد المستودعات المتضررة ثلاث مرات تقريبًا في الأسابيع الخمسة التي تلت الكشف الأولي
تم نشر أكثر من 1,700 حزمة npm ضارة كجزء من عملية المقابلة المعدية الأوسع
الأنظمة البيئية المستهدفة
امتدت الحملة إلى أبعد من npm، ناقلها الأولي:
npm (Node.js): الهدف الأساسي، بمئات الحزم الضارة
PyPI (Python): تم توزيع حزم بايثون كجزء من عملية المقابلة المعدية
Go (Go Module Mirror): تم تحديد حزم Go ضارة بواسطة Socket Security
Packagist (PHP/Composer): توسعت لتشمل هذا النظام بحلول يوليو 2026
Rust (crates.io): تم استهدافها في الحملة الأوسع
GitHub Actions وملحقات VS Code: تم اختراقها عبر ملفات .vscode/tasks.json وخطوط أنابيب CI/CD المحقونة
كما اخترقت الحملة مكتبة Axios npm الشهيرة (الإصداران 1.14.1 و0.30.0) في أبريل 2026 عبر تبعية ضارة .
تقنية العدوى متعددة المراحل
سلسلة عدوى PolinRider هي عملية منظمة بعناية من أربع مراحل.
المرحلة 1: محملات JavaScript المبهمة في ملفات التهيئة
يُلحق المهاجمون أكواد JavaScript مبهمة بشدة بنهاية ملفات التهيئة المشروعة . تُحشى الأسطر الضارة بمسافات زائدة، مما يدفع الكود إلى ما وراء عرض المشاهدة الافتراضي للبيئة التطويرية، مما يجعله غير مرئي أثناء مراجعة الكود العادية .
المرحلة 2: طرق الإخفاء المتطورة
تستخدم PolinRider ثلاث طرق إخفاء أساسية:
ملفات الخطوط المزيفة .woff2: يُخفى كود JavaScript على شكل ملف خط ويب
حشو المسافات البيضاء: تُحشى الأسطر القابلة للتنفيذ بعيدًا إلى يمين نافذة العرض
تزوير تاريخ Git (ForceMemo): وحدة تعيد كتابة تاريخ Git، وتؤرخ الالتزامات الضارة بأشهر سابقة
المرحلة 3: تنفيذ مهام VS Code (TasksJacker)
يتم حقن ملفات .vscode/tasks.json ضارة في المستودعات. عندما يستنسخ مطور مستودعًا مخترقًا ويفتحه في VS Code، يتم تنفيذ المهمة تلقائيًا.
المرحلة 4: استرجاع الحمولة عبر سلسلة الكتل (C2)
يستعيد محمل JavaScript الحمولة التالية عن طريق قراءة البيانات المشفرة المضمنة في معاملات سلسلة الكتل. تستخدم الحملة شبكات سلسلة كتل TRON وAptos وBSC (BNB Smart Chain) كقنوات اتصال (C2) .
الحمولات الضارة التي تم تسليمها
توصّل PolinRider مجموعة من الحمولات الضارة:
BeaverTail (محمل/سارق معلومات JavaScript): عائلة البرامج الضارة الأساسية، تعمل كمحمل من المرحلة الأولى وجامع بيانات اعتماد .
DEV POPPER.js (حصان طروادة للتحكم عن بُعد): يوفر تنفيذًا كاملاً للكود عن بُعد ووصولاً مستمرًا .
OmniStealer (سارق معلومات): يستهدف بقوة بيانات محافظ العملات الرقمية والمفاتيح الخاصة وبيانات الاعتماد المخزنة في المتصفح والرموز المميزة للجلسات ومفاتيح API .
PylangGhost: باب خلفي قائم على بايثون .
باب خلفي لـ Socket.io: يؤسس اتصالاً مستمرًا بقذيفة عكسية مع البنية التحتية للمهاجم .
الصلة بـ 'المقابلة المعدية'
تمثل PolinRider تطورًا تشغيليًا مباشرًا لحملة المقابلة المعدية. بينما اعتمدت المقابلة المعدية تاريخيًا على حيل المقابلات الوظيفية المزيفة والهندسة الاجتماعية، فإن PolinRider تمثل تحولًا نحو اختراق آلي بالكامل لسلسلة التوريد.
تشترك كلتا الحملتين في عائلة برامج BeaverTail الضارة وبنية تحتية متداخلة للتحكم، لكن PolinRider تلغي الطبقة الاجتماعية تمامًا .
الاستجابة الدفاعية الموصى بها
بناءً على توجيهات الخبراء ، يجب على المؤسسات اتخاذ الخطوات التالية:
إجراءات فورية
تعامل مع أي بيئة متأثرة على أنها مخترقة بالكامل
أزل الحزم المتأثرة من ملفات package.json وgo.mod وملفات القفل
راجع كل نشاط الشبكة الصادر من أجهزة المطورين
أوقف العمل على أي قاعدة أكواد شغّلت حزمة متأثرة
احفظ الأدلة الجنائية (السجلات، صور القرص) قبل المعالجة
تنظيف الكود والمستودع
افحص جميع ملفات التهيئة بحثًا عن أكواد JavaScript مبهمة ملحقة
افحص أدلة .vscode/ بحثًا عن ملفات tasks.json غير متوقعة
راجع ملفات .woff2 والأصول الثنائية الأخرى بحثًا عن أكواد JavaScript مضمنة
دقق في تاريخ Git بحثًا عن التزامات مؤرخة بأثر رجعي من مؤلفين مجهولين
التعزيز طويل الأمد
طبق تصفية حركة المرور الصادرة على شبكات المطورين
استخدم التحقق من سلامة الحزم قبل التثبيت
عطل مهام التشغيل التلقائي لـ VS Code
انشر قواعد التحليل الثابت
راقب مؤشرات الاتصال بسلسلة الكتل
أعد البناء من ملفات قفل معروفة وسليمة، وأعد تدوير جميع الأسرار والمفاتيح
PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
1,951 مستودعًا مخترقًا على GitHub يملكها 1,047 مالكًا فريدًا حتى أواخر أبريل 2026
تضاعف عدد المستودعات المتضررة ثلاث مرات تقريبًا في الأسابيع الخمسة التي تلت الكشف الأولي
تم نشر أكثر من 1,700 حزمة npm ضارة كجزء من عملية المقابلة المعدية الأوسع
الأنظمة البيئية المستهدفة
امتدت الحملة إلى أبعد من npm، ناقلها الأولي:
npm (Node.js): الهدف الأساسي، بمئات الحزم الضارة
PyPI (Python): تم توزيع حزم بايثون كجزء من عملية المقابلة المعدية
Go (Go Module Mirror): تم تحديد حزم Go ضارة بواسطة Socket Security
Packagist (PHP/Composer): توسعت لتشمل هذا النظام بحلول يوليو 2026
Rust (crates.io): تم استهدافها في الحملة الأوسع
GitHub Actions وملحقات VS Code: تم اختراقها عبر ملفات .vscode/tasks.json وخطوط أنابيب CI/CD المحقونة
كما اخترقت الحملة مكتبة Axios npm الشهيرة (الإصداران 1.14.1 و0.30.0) في أبريل 2026 عبر تبعية ضارة .
تقنية العدوى متعددة المراحل
سلسلة عدوى PolinRider هي عملية منظمة بعناية من أربع مراحل.
المرحلة 1: محملات JavaScript المبهمة في ملفات التهيئة
يُلحق المهاجمون أكواد JavaScript مبهمة بشدة بنهاية ملفات التهيئة المشروعة . تُحشى الأسطر الضارة بمسافات زائدة، مما يدفع الكود إلى ما وراء عرض المشاهدة الافتراضي للبيئة التطويرية، مما يجعله غير مرئي أثناء مراجعة الكود العادية .
المرحلة 2: طرق الإخفاء المتطورة
تستخدم PolinRider ثلاث طرق إخفاء أساسية:
ملفات الخطوط المزيفة .woff2: يُخفى كود JavaScript على شكل ملف خط ويب
حشو المسافات البيضاء: تُحشى الأسطر القابلة للتنفيذ بعيدًا إلى يمين نافذة العرض
تزوير تاريخ Git (ForceMemo): وحدة تعيد كتابة تاريخ Git، وتؤرخ الالتزامات الضارة بأشهر سابقة
المرحلة 3: تنفيذ مهام VS Code (TasksJacker)
يتم حقن ملفات .vscode/tasks.json ضارة في المستودعات. عندما يستنسخ مطور مستودعًا مخترقًا ويفتحه في VS Code، يتم تنفيذ المهمة تلقائيًا.
المرحلة 4: استرجاع الحمولة عبر سلسلة الكتل (C2)
يستعيد محمل JavaScript الحمولة التالية عن طريق قراءة البيانات المشفرة المضمنة في معاملات سلسلة الكتل. تستخدم الحملة شبكات سلسلة كتل TRON وAptos وBSC (BNB Smart Chain) كقنوات اتصال (C2) .
الحمولات الضارة التي تم تسليمها
توصّل PolinRider مجموعة من الحمولات الضارة:
BeaverTail (محمل/سارق معلومات JavaScript): عائلة البرامج الضارة الأساسية، تعمل كمحمل من المرحلة الأولى وجامع بيانات اعتماد .
DEV POPPER.js (حصان طروادة للتحكم عن بُعد): يوفر تنفيذًا كاملاً للكود عن بُعد ووصولاً مستمرًا .
OmniStealer (سارق معلومات): يستهدف بقوة بيانات محافظ العملات الرقمية والمفاتيح الخاصة وبيانات الاعتماد المخزنة في المتصفح والرموز المميزة للجلسات ومفاتيح API .
PylangGhost: باب خلفي قائم على بايثون .
باب خلفي لـ Socket.io: يؤسس اتصالاً مستمرًا بقذيفة عكسية مع البنية التحتية للمهاجم .
الصلة بـ 'المقابلة المعدية'
تمثل PolinRider تطورًا تشغيليًا مباشرًا لحملة المقابلة المعدية. بينما اعتمدت المقابلة المعدية تاريخيًا على حيل المقابلات الوظيفية المزيفة والهندسة الاجتماعية، فإن PolinRider تمثل تحولًا نحو اختراق آلي بالكامل لسلسلة التوريد.
تشترك كلتا الحملتين في عائلة برامج BeaverTail الضارة وبنية تحتية متداخلة للتحكم، لكن PolinRider تلغي الطبقة الاجتماعية تمامًا .
الاستجابة الدفاعية الموصى بها
بناءً على توجيهات الخبراء ، يجب على المؤسسات اتخاذ الخطوات التالية:
إجراءات فورية
تعامل مع أي بيئة متأثرة على أنها مخترقة بالكامل
أزل الحزم المتأثرة من ملفات package.json وgo.mod وملفات القفل
راجع كل نشاط الشبكة الصادر من أجهزة المطورين
أوقف العمل على أي قاعدة أكواد شغّلت حزمة متأثرة
احفظ الأدلة الجنائية (السجلات، صور القرص) قبل المعالجة
تنظيف الكود والمستودع
افحص جميع ملفات التهيئة بحثًا عن أكواد JavaScript مبهمة ملحقة
افحص أدلة .vscode/ بحثًا عن ملفات tasks.json غير متوقعة
راجع ملفات .woff2 والأصول الثنائية الأخرى بحثًا عن أكواد JavaScript مضمنة
دقق في تاريخ Git بحثًا عن التزامات مؤرخة بأثر رجعي من مؤلفين مجهولين
التعزيز طويل الأمد
طبق تصفية حركة المرور الصادرة على شبكات المطورين
استخدم التحقق من سلامة الحزم قبل التثبيت
عطل مهام التشغيل التلقائي لـ VS Code
انشر قواعد التحليل الثابت
راقب مؤشرات الاتصال بسلسلة الكتل
أعد البناء من ملفات قفل معروفة وسليمة، وأعد تدوير جميع الأسرار والمفاتيح
PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
