PolinRider: Nordkoreansk forsyningskædeangreb rammer 1.951 GitHub-repositorier

Omfang og skala

Omfanget af PolinRider er enormt og vokser hurtigt:

• 1.951 kompromitterede GitHub-repositorier tilhørende 1.047 unikke ejere pr. slutningen af april 2026 ^IS
• Antallet af berørte repositorier blev omtrent tredoblet i de fem uger efter den første afsløring ^OS
• Mere end 1.700 ondsindede npm-pakker er blevet udgivet som en del af den bredere Contagious Interview-operation ^TD

Berørte økosystemer

Kampagnen har spredt sig langt ud over npm, som var dens oprindelige vektor:

• npm (Node.js): Det primære mål med hundredvis af ondsindede pakker, herunder dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt og debug-glit ^T
• PyPI (Python): Python-pakker distribueret som en del af Contagious Interview-operationen ^D
• Go (Go Module Mirror): Ondsindede Go-pakker identificeret af Socket Security ^DT
• Packagist (PHP/Composer): Udvidet til dette økosystem i juli 2026 ^D
• Rust (crates.io): Målrettet i den bredere kampagne ^T
• GitHub Actions og VS Code-udvidelser: Kompromitteret via ondsindede .vscode/tasks.json-filer og injicerede CI-pipelines ^DI

Kampagnen kompromitterede også det meget brugte Axios npm-bibliotek (version 1.14.1 og 0.30.0) i april 2026 via en ondsindet afhængighed ved navn plain-crypto-js, hvilket påvirkede cirka 100 millioner ugentlige downloads ^DC.

Flertrinsinfektionsteknikken

PolinRider-infektionskæden er en omhyggeligt orkestreret firetrinsproces designet til at maksimere stealth og minimere behovet for victim-interaktion.

Trin 1: Obfuscated JavaScript-loadere i konfigurationsfiler

Angribere tilføjer stærkt obfuscated JavaScript til slutningen af legitime udviklerkonfigurationsfiler som postcss.config.mjs, tailwind.config.js, eslint.config.mjs og next.config.mjs ^FB. De ondsindede linjer er polstret med overskydende mellemrum, hvilket skubber koden ud over standard-IDE-visningsbredden og gør den usynlig under tilfældig koderevision ^DB.

Trin 2: Avancerede skjulningsmetoder

PolinRider anvender tre primære skjulningsteknikker:

• Falske .woff2-fontfiler: Den obfuscatede JavaScript kode er forklædt som en webfontfil, et binært format de fleste udviklere aldrig inspicerer ^TB
• Mellemrumsudfyldning: Eksekverbare linjer er polstret langt til højre for den synlige visningsport ^DB
• Git-historieforfalskning (ForceMemo): Et modul, der omskriver Git-historikken og tilbagedaterer ondsindede commits med måneder for at fremstå som rutinemæssig vedligeholdelse fra legitime vedligeholdere ^OL

Trin 3: VS Code-opgaveudførelse (TasksJacker)

Ondsindede .vscode/tasks.json-filer injiceres i repositorier. Når en udvikler kloner et kompromitteret repo og åbner det i VS Code, udføres opgaven automatisk uden yderligere brugerinteraktion. Dette omgår helt det sociale ingeniørtrin, der blev brugt i tidligere Contagious Interview-kampagner ^DIT.

Trin 4: Blockchain-baseret nyttelasthentning (C2)

Den deobfuscatede JavaScript-loader henter sin næste nyttelast ved at læse krypterede data indlejret i cryptocurrency-blockchain-transaktioner. Kampagnen bruger TRON, Aptos og BSC (BNB Smart Chain)-blockchain-netværk som dead-drop C2-kanaler ^DIB. Denne "etherhiding"-teknik gør nedtagning ekstremt vanskelig, da C2-dataene eksisterer uforanderligt på offentlige blockchains.

Leverede malware-nyttelaster

PolinRider leverer en suite af ondsindede nyttelaster, hver med specifikke egenskaber:

BeaverTail (JavaScript-baseret dropper/infostealer)

Den primære malware-familie, der leveres, er en ny variant af BeaverTail, en kendt JavaScript-baseret malware forbundet med DPRK-operationer. Den fungerer som en førstetrins-dropper og legitimationshøster ^TF.

DEV#POPPER.js (Fjernadgangstrojaner)

Infektionskæden leverer en JavaScript-baseret RAT, der spores som DEV#POPPER.js. Den giver fuld fjernkodeudførelse (RCE), vedvarende adgang og mulighed for at udføre vilkårlige kommandoer på den kompromitterede udviklerarbejdsstation. eSentires Threat Response Unit (TRU) opdagede den i naturen rettet mod energi-, forsynings- og affaldssektoren i februar 2026 ^IE.

OmniStealer (Informationsstjæler)

Implementeret sammen med DEV#POPPER, OmniStealer målretter aggressivt cryptocurrency-wallet-legitimationsoplysninger, private nøgler, browserlagrede legitimationsoplysninger, sessionstokens, API-nøgler og CI/CD-hemmeligheder ^IR.

Andre nyttelaster

• PylangGhost: En Python-baseret bagdør, der markerer første gang denne malware blev spredt via npm-pakker ^T
• Socket.io-bagdør: Etablerer vedvarende reverse-shell-kommunikation med angriberinfrastruktur ^T

Forbindelse til Contagious Interview

PolinRider er en direkte operationel evolution af Contagious Interview-kampagnen. Mens Contagious Interview historisk set stolede på falske jobsamtale-lokkemad og social engineering for at narre udviklere til at installere trojaniserede projekter, repræsenterer PolinRider et skift mod fuldautomatisk, social engineering-fri supply chain-kompromittering ^MTI.

Vigtige forskelle og overlapninger inkluderer:

• Begge kampagner deler den samme BeaverTail-malware-familie og overlappende C2-infrastruktur ^IC
• PolinRider/TasksJacker eliminerer det sociale lag helt – kompromittering sker automatisk via ondsindede pakker og VS Code-auto-run-opgaver
• Begge bruger blockchain-baseret nyttelasthentning ^IC

Anbefalet defensiv respons

Baseret på vejledning fra OpenSourceMalware, Socket Security, Sonatype og andre forskere bør organisationer tage følgende skridt:

Øjeblikkelige handlinger

1. Behandl ethvert berørt miljø som fuldt kompromitteret – antag, at legitimationsoplysninger og hemmeligheder er stjålet, indtil det modsatte er bevist ^IS
2. Fjern berørte pakker fra package.json, go.mod og lockfiler ^SG
3. Gennemgå al udgående netværksaktivitet fra udviklerarbejdsstationer, især forbindelser til blockchain-noder og ukendte IP'er ^SG
4. Sæt arbejde på enhver kodebase, der kørte en berørt pakke, på pause – vend tilbage til commits fra før det kendte kompromitteringsvindue ^S
5. Bevar retsmedicinske beviser (logs, diskbilleder) før sanering ^I

Kode- og repository-oprydning

6. Scan alle postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs og lignende filer for tilføjet obfuscated JavaScript ^FB
7. Inspicer .vscode/-mapper for uventede tasks.json med auto-run-konfigurationer ^DI
8. Gennemgå .woff2 og andre binære aktivfiler for indlejret JavaScript ^TB
9. Revider Git-historikken for tilbagedaterede commits fra ukendte forfattere – stol ikke på synlig commit-historik alene ^O

Langsigtet hærdning

10. Implementer egress-filtrering på udviklernetværk for at begrænse udgående forbindelser ^G
11. Brug pakkeintegritetsverifikation (lockfiler, kontrolsumsvalidering, npm audit, socket.dev-scanning) før installation ^G
12. Deaktiver VS Code-auto-run-opgaver i udviklingsmiljøer, hvor det ikke er eksplicit nødvendigt ^DI
13. Implementer statiske analyseregler – Datadog tilbyder en dedikeret PolinRider-detektionsregel til JavaScript/Node.js-kodesikkerhedsscanning ^D
14. Overvåg for blockchain-baserede C2-indikatorer – usædvanlige DNS-opslag til blockchain-API'er eller ikke-standard udgående forbindelser på udviklermaskiner ^I
15. Genopbyg fra kendte gode lockfiler og roter alle hemmeligheder, API-nøgler og kryptografiske nøgler, der kan være blevet eksponeret på enhver berørt arbejdsstation ^IS