PolinRider: Severokorejský útok na dodavatelský řetězec ohrozil 1 951 GitHub repozitářů

Rozsah škod

Rozsah PolinRider je obrovský a rychle roste:

• 1 951 kompromitovaných GitHub repozitářů patřících 1 047 unikátním vlastníkům k datu konce dubna 2026 ^IS
• Počet zasažených repozitářů se za pět týdnů od prvního zveřejnění informace zhruba ztrojnásobil ^OS
• V rámci širší operace Contagious Interview bylo publikováno více než 1 700 škodlivých npm balíčků ^TD

Zasažené ekosystémy

Kampaň se rozšířila daleko za svůj počáteční vektor, kterým byl npm:

• npm (Node.js): Primární cíl, stovky škodlivých balíčků včetně dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt a debug-glit ^T
• PyPI (Python): Python balíčky distribuované jako součást operace Contagious Interview ^D
• Go (Go Module Mirror): Škodlivé Go balíčky identifikované společností Socket Security ^DT
• Packagist (PHP/Composer): Rozšíření do tohoto ekosystému bylo potvrzeno v červenci 2026 ^D
• Rust (crates.io): Zacíleno v širší kampani ^T
• GitHub Actions a rozšíření VS Code: Kompromitováno prostřednictvím škodlivých .vscode/tasks.json souborů a injektovaných CI/CD pipeline ^DI

Kampaň také v dubnu 2026 kompromitovala hojně používanou npm knihovnu Axios (verze 1.14.1 a 0.30.0) prostřednictvím škodlivé závislosti plain-crypto-js, což ovlivnilo zhruba 100 milionů týdenních stažení ^DC.

Vícefázová infekční technika

Infekční řetězec PolinRider je pečlivě orchestrovaný, čtyřfázový proces navržený k maximalizaci utajení a minimalizaci potřeby interakce oběti.

Fáze 1: Obfuskované JavaScript loadery v konfiguračních souborech

Útočníci připojí silně obfuskovaný JavaScript na konec legitimních konfiguračních souborů, jako jsou postcss.config.mjs, tailwind.config.js, eslint.config.mjs a next.config.mjs ^FB. Škodlivé řádky jsou doplněny přebytečnými mezerami, čímž se kód posune za výchozí šířku zobrazení IDE a stane se neviditelným při běžné kontrole kódu ^DB.

Fáze 2: Sofistikované metody skrývání

PolinRider používá tři primární techniky skrytí:

• Falešné .woff2 font soubory: Obfuskovaný JavaScript je maskovaný jako webový font, binární formát, který většina vývojářů nikdy nekontroluje ^TB
• Odsazení mezerami: Spustitelné řádky jsou odsazeny daleko doprava, mimo viditelnou oblast ^DB
• Falšování historie Gitu (ForceMemo): Modul, který přepisuje Git historii, datuje škodlivé commity o měsíce zpět, aby vypadaly jako rutinní údržba od legitimních správců ^OL

Fáze 3: Spouštění úloh VS Code (TasksJacker)

Do repozitářů jsou injektovány škodlivé .vscode/tasks.json soubory. Když vývojář naklonuje kompromitovaný repozitář a otevře jej ve VS Code, úloha se spustí automaticky bez jakékoli další interakce uživatele. To zcela obchází krok sociálního inženýrství používaný v dřívějších kampaních Contagious Interview ^DIT.

Fáze 4: Získávání payloadu z blockchainu (C2)

Deobfuskovaný JavaScript loader získává payload další fáze čtením zašifrovaných dat vložených do transakcí kryptoměnových blockchainů. Kampaň využívá blockchainové sítě TRON, Aptos a BSC (BNB Smart Chain) jako dead-drop C2 kanály ^DIB. Tato technika "etherhiding" činí odstranění C2 infrastruktury extrémně obtížným, protože data existují neměnitelně na veřejných blockchainech.

Doručené malware payloady

PolinRider doručuje sadu škodlivých payloadů, z nichž každý má specifické schopnosti:

BeaverTail (JavaScriptový zavaděč/krádež dat)

Primární doručovaná rodina malwaru je nová varianta BeaverTail, známého JavaScriptového malwaru spojovaného s operacemi KLDR. Funguje jako první fáze zavaděče a sběrače přihlašovacích údajů ^TF.

DEV#POPPER.js (Trojský kůň pro vzdálený přístup)

Infekční řetězec doručuje JavaScriptový RAT sledovaný jako DEV#POPPER.js. Poskytuje plné možnosti vzdáleného spouštění kódu (RCE), trvalý přístup a schopnost spouštět libovolné příkazy na kompromitovaném vývojářském počítači. Jednotka eSentire Threat Response Unit (TRU) jej v únoru 2026 detekovala v praxi, přičemž cílil na sektor energetiky, utilit a odpadového hospodářství ^IE.

OmniStealer (Krádež informací)

Nasaděn společně s DEV#POPPER, OmniStealer agresivně cílí na přihlašovací údaje kryptopeněženek, soukromé klíče, přihlašovací údaje uložené v prohlížeči, session tokeny, API klíče a CI/CD tajemství ^IR.

Další payloady

• PylangGhost: Python backdoor, který poprvé zaznamenal šíření prostřednictvím npm balíčků ^T
• Socket.io backdoor: Ustavuje trvalou reverzní shell komunikaci s útočníkovou infrastrukturou ^T

Spojení s Contagious Interview

PolinRider je přímý operační vývoj kampaně Contagious Interview. Zatímco Contagious Interview historicky spoléhal na falešné pracovní pohovory a sociální inženýrství, aby přiměl vývojáře k instalaci trojanizovaných projektů, PolinRider představuje posun k plně automatizovanému kompromitování bez potřeby sociálního inženýrství ^MTI.

Klíčové rozdíly a překryvy:

• Obě kampaně sdílejí stejnou rodinu malwaru BeaverTail a překrývající se C2 infrastrukturu ^IC
• PolinRider/TasksJacker zcela eliminuje sociální vrstvu – kompromitace nastává automaticky prostřednictvím škodlivých balíčků a automaticky spouštěných VS Code úloh
• Obě používají získávání payloadů z blockchainu ^IC

Doporučená obranná opatření

Na základě doporučení od OpenSourceMalware, Socket Security, Sonatype a dalších výzkumníků by organizace měly podniknout následující kroky:

Okamžitá opatření

1. Považujte jakékoli zasažené prostředí za plně kompromitované – předpokládejte krádež přihlašovacích údajů a tajemství, dokud se neprokáže opak ^IS
2. Odstraňte zasažené balíčky z package.json, go.mod a lockfile ^SG
3. Prověřte veškerou odchozí síťovou aktivitu z vývojářských stanic, zejména spojení na blockchainové uzly a neznámé IP adresy ^SG
4. Pozastavte práci na jakémkoli kódu, který spouštěl zasažený balíček – vraťte se k commitům z doby před známým oknem kompromitace ^S
5. Uchovejte forenzní důkazy (logy, obrazy disků) před nápravou ^I

Vyčištění kódu a repozitářů

6. Prohledejte všechny soubory postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs a podobné pro přidaný obfuskovaný JavaScript ^FB
7. Zkontrolujte adresáře .vscode/ pro neočekávané tasks.json s automatickým spouštěním ^DI
8. Prověřte .woff2 a další binární asset soubory pro vložený JavaScript ^TB
9. Auditujte Git historii pro zpětně datované commity od neznámých autorů – nedůvěřujte samotné viditelné historii commitů ^O

Dlouhodobé posílení bezpečnosti

10. Implementujte filtrování odchozích spojení (egress filtering) na vývojářských sítích pro omezení odchozích spojení ^G
11. Používejte ověřování integrity balíčků (lockfile, kontrola checksum, npm audit, skenování socket.dev) před instalací ^G
12. Zakažte automatické spouštění VS Code úloh ve vývojářských prostředích, kde to není výslovně potřeba ^DI
13. Nasaďte pravidla statické analýzy – Datadog nabízí dedikované detekční pravidlo pro PolinRider pro JavaScript/Node.js bezpečnostní skenování kódu ^D
14. Sledujte indikátory C2 na blockchainu – neobvyklé DNS dotazy na blockchain API nebo nestandardní odchozí spojení z vývojářských strojů ^I
15. Obnovte ze známých čistých lockfile a znovu vygenerujte všechna tajemství, API klíče a kryptografické klíče, které mohly být vystaveny na jakékoli zasažené stanici ^IS