PolinRider: Nordkoreansk forsyningskædeangreb rammer 1.951 GitHub-repositorier

PolinRider-kampagnen er et af de mest aggressive og teknisk avancerede open source-supply chain-angreb, der nogensinde er tilskrevet Nordkorea. Først flagget af OpenSourceMalware i marts 2026, har det hurtigt spredt sig på tværs af flere pakke-økosystemer og udvikler-værktøjskæder og kompromitteret næsten 2.000 GitHub-repositorier og udnyttet blockchain-teknologi til kommandokontrol (C2) .

Attribuering og kampagneidentitet

PolinRider tilskrives Den Demokratiske Folkerepublik Korea (DPRK) og er tilpasset Lazarus Group. Det opererer som en underkampagne inden for det bredere Contagious Interview-cluster (også kendt som Famous Chollima) . Kampagnen er operationelt fusioneret med den relaterede TasksJacker-kampagne, som fokuserer på at misbruge VS Cords opgaveautomatisering .

Omfang og skala

Omfanget af PolinRider er enormt og vokser hurtigt:

• 1.951 kompromitterede GitHub-repositorier tilhørende 1.047 unikke ejere pr. slutningen af april 2026
• Antallet af berørte repositorier blev omtrent tredoblet i de fem uger efter den første afsløring
• Mere end 1.700 ondsindede npm-pakker er blevet udgivet som en del af den bredere Contagious Interview-operation

Berørte økosystemer

Kampagnen har spredt sig langt ud over npm, som var dens oprindelige vektor:

• npm (Node.js): Det primære mål med hundredvis af ondsindede pakker, herunder dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt og debug-glit
• PyPI (Python): Python-pakker distribueret som en del af Contagious Interview-operationen
• Go (Go Module Mirror): Ondsindede Go-pakker identificeret af Socket Security
• Packagist (PHP/Composer): Udvidet til dette økosystem i juli 2026
• Rust (crates.io): Målrettet i den bredere kampagne
• GitHub Actions og VS Code-udvidelser: Kompromitteret via ondsindede .vscode/tasks.json-filer og injicerede CI-pipelines

Kampagnen kompromitterede også det meget brugte Axios npm-bibliotek (version 1.14.1 og 0.30.0) i april 2026 via en ondsindet afhængighed ved navn plain-crypto-js, hvilket påvirkede cirka 100 millioner ugentlige downloads .

Flertrinsinfektionsteknikken

PolinRider-infektionskæden er en omhyggeligt orkestreret firetrinsproces designet til at maksimere stealth og minimere behovet for victim-interaktion.

Trin 1: Obfuscated JavaScript-loadere i konfigurationsfiler

Angribere tilføjer stærkt obfuscated JavaScript til slutningen af legitime udviklerkonfigurationsfiler som postcss.config.mjs, tailwind.config.js, eslint.config.mjs og next.config.mjs . De ondsindede linjer er polstret med overskydende mellemrum, hvilket skubber koden ud over standard-IDE-visningsbredden og gør den usynlig under tilfældig koderevision .

Trin 2: Avancerede skjulningsmetoder

PolinRider anvender tre primære skjulningsteknikker:

• Falske .woff2-fontfiler: Den obfuscatede JavaScript kode er forklædt som en webfontfil, et binært format de fleste udviklere aldrig inspicerer
• Mellemrumsudfyldning: Eksekverbare linjer er polstret langt til højre for den synlige visningsport
• Git-historieforfalskning (ForceMemo): Et modul, der omskriver Git-historikken og tilbagedaterer ondsindede commits med måneder for at fremstå som rutinemæssig vedligeholdelse fra legitime vedligeholdere

Trin 3: VS Code-opgaveudførelse (TasksJacker)

Ondsindede .vscode/tasks.json-filer injiceres i repositorier. Når en udvikler kloner et kompromitteret repo og åbner det i VS Code, udføres opgaven automatisk uden yderligere brugerinteraktion. Dette omgår helt det sociale ingeniørtrin, der blev brugt i tidligere Contagious Interview-kampagner .

Trin 4: Blockchain-baseret nyttelasthentning (C2)

Den deobfuscatede JavaScript-loader henter sin næste nyttelast ved at læse krypterede data indlejret i cryptocurrency-blockchain-transaktioner. Kampagnen bruger TRON, Aptos og BSC (BNB Smart Chain)-blockchain-netværk som dead-drop C2-kanaler . Denne "etherhiding"-teknik gør nedtagning ekstremt vanskelig, da C2-dataene eksisterer uforanderligt på offentlige blockchains.

Leverede malware-nyttelaster

PolinRider leverer en suite af ondsindede nyttelaster, hver med specifikke egenskaber:

BeaverTail (JavaScript-baseret dropper/infostealer)

Den primære malware-familie, der leveres, er en ny variant af BeaverTail, en kendt JavaScript-baseret malware forbundet med DPRK-operationer. Den fungerer som en førstetrins-dropper og legitimationshøster .

DEV#POPPER.js (Fjernadgangstrojaner)

Infektionskæden leverer en JavaScript-baseret RAT, der spores som DEV#POPPER.js. Den giver fuld fjernkodeudførelse (RCE), vedvarende adgang og mulighed for at udføre vilkårlige kommandoer på den kompromitterede udviklerarbejdsstation. eSentires Threat Response Unit (TRU) opdagede den i naturen rettet mod energi-, forsynings- og affaldssektoren i februar 2026 .

OmniStealer (Informationsstjæler)

Implementeret sammen med DEV#POPPER, OmniStealer målretter aggressivt cryptocurrency-wallet-legitimationsoplysninger, private nøgler, browserlagrede legitimationsoplysninger, sessionstokens, API-nøgler og CI/CD-hemmeligheder .

Andre nyttelaster

• PylangGhost: En Python-baseret bagdør, der markerer første gang denne malware blev spredt via npm-pakker
• Socket.io-bagdør: Etablerer vedvarende reverse-shell-kommunikation med angriberinfrastruktur

Forbindelse til Contagious Interview

PolinRider er en direkte operationel evolution af Contagious Interview-kampagnen. Mens Contagious Interview historisk set stolede på falske jobsamtale-lokkemad og social engineering for at narre udviklere til at installere trojaniserede projekter, repræsenterer PolinRider et skift mod fuldautomatisk, social engineering-fri supply chain-kompromittering .

Vigtige forskelle og overlapninger inkluderer:

• Begge kampagner deler den samme BeaverTail-malware-familie og overlappende C2-infrastruktur
• PolinRider/TasksJacker eliminerer det sociale lag helt – kompromittering sker automatisk via ondsindede pakker og VS Code-auto-run-opgaver
• Begge bruger blockchain-baseret nyttelasthentning

Anbefalet defensiv respons

Baseret på vejledning fra OpenSourceMalware, Socket Security, Sonatype og andre forskere bør organisationer tage følgende skridt:

Øjeblikkelige handlinger

1. Behandl ethvert berørt miljø som fuldt kompromitteret – antag, at legitimationsoplysninger og hemmeligheder er stjålet, indtil det modsatte er bevist
2. Fjern berørte pakker fra package.json, go.mod og lockfiler
3. Gennemgå al udgående netværksaktivitet fra udviklerarbejdsstationer, især forbindelser til blockchain-noder og ukendte IP'er
4. Sæt arbejde på enhver kodebase, der kørte en berørt pakke, på pause – vend tilbage til commits fra før det kendte kompromitteringsvindue
5. Bevar retsmedicinske beviser (logs, diskbilleder) før sanering

Kode- og repository-oprydning

6. Scan alle postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs og lignende filer for tilføjet obfuscated JavaScript
7. Inspicer .vscode/-mapper for uventede tasks.json med auto-run-konfigurationer
8. Gennemgå .woff2 og andre binære aktivfiler for indlejret JavaScript
9. Revider Git-historikken for tilbagedaterede commits fra ukendte forfattere – stol ikke på synlig commit-historik alene

Langsigtet hærdning

10. Implementer egress-filtrering på udviklernetværk for at begrænse udgående forbindelser
11. Brug pakkeintegritetsverifikation (lockfiler, kontrolsumsvalidering,

    npm audit

    , socket.dev-scanning) før installation
12. Deaktiver VS Code-auto-run-opgaver i udviklingsmiljøer, hvor det ikke er eksplicit nødvendigt
13. Implementer statiske analyseregler – Datadog tilbyder en dedikeret PolinRider-detektionsregel til JavaScript/Node.js-kodesikkerhedsscanning
14. Overvåg for blockchain-baserede C2-indikatorer – usædvanlige DNS-opslag til blockchain-API'er eller ikke-standard udgående forbindelser på udviklermaskiner
15. Genopbyg fra kendte gode lockfiler og roter alle hemmeligheder, API-nøgler og kryptografiske nøgler, der kan være blevet eksponeret på enhver berørt arbejdsstation