Umfang und Ausmaß

Das Ausmaß von PolinRider ist immens und wächst rasant:

• 1.951 kompromittierte GitHub-Repositories von 1.047 verschiedenen Besitzern (Stand Ende April 2026)
• Die Anzahl der betroffenen Repositories hat sich in den fünf Wochen nach der ersten Veröffentlichung etwa verdreifacht
• Mehr als 1.700 bösartige npm-Pakete wurden im Rahmen der breiteren Contagious-Interview-Operation veröffentlicht

Betroffene Ökosysteme

Die Kampagne hat sich weit über ihren ursprünglichen Vektor npm hinaus ausgebreitet:

• npm (Node.js): Das primäre Ziel mit Hunderten bösartigen Paketen, darunter dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt und debug-glit
• PyPI (Python): Python-Pakete, die im Rahmen der Contagious-Interview-Operation verteilt wurden
• Go (Go Module Mirror): Bösartige Go-Pakete, identifiziert von Socket Security
• Packagist (PHP/Composer): Ausweitung auf dieses Ökosystem bis Juli 2026
• Rust (crates.io): Ebenfalls im Visier der breiteren Kampagne
• GitHub Actions und VS Code-Erweiterungen: Kompromittiert durch bösartige .vscode/tasks.json-Dateien und injizierte CI/CD-Pipelines

Die Kampagne kompromittierte im April 2026 auch die weit verbreitete Axios-npm-Bibliothek (Versionen 1.14.1 und 0.30.0) über eine bösartige Abhängigkeit namens plain-crypto-js, was etwa 100 Millionen wöchentliche Downloads betraf .

Die mehrstufige Infektionstechnik

Die PolinRider-Infektionskette ist ein sorgfältig orchestrierter, vierstufiger Prozess, der maximale Heimlichkeit erfordert und die Interaktion mit dem Opfer minimiert.

Stufe 1: Obfuskierte JavaScript-Loader in Konfigurationsdateien

Angreifer hängen stark obfuskierte JavaScript-Blöcke an das Ende legitimer Entwicklerkonfigurationsdateien wie postcss.config.mjs, tailwind.config.js, eslint.config.mjs und next.config.mjs an . Die bösartigen Zeilen werden durch übermäßige Leerzeichen aufgepolstert, sodass sie über die Standard-IDE-Ansichtsbreite hinausgeschoben werden und bei einer schnellen Code-Überprüfung unsichtbar bleiben .

Stufe 2: Raffinierte Versteckmethoden

PolinRider verwendet drei primäre Verstecktechniken:

• Gefälschte .woff2-Schriftdateien: Das obfuskierte JavaScript wird als Webfont-Datei getarnt – ein Format, das die meisten Entwickler nie überprüfen
• Leerzeichen-Polsterung: Ausführbare Zeilen werden weit nach rechts außerhalb des sichtbaren Viewports verschoben
• Git-History-Fälschung (ForceMemo): Ein Modul, das die Git-History umschreibt und bösartige Commits Monate zurückdatiert, sodass sie wie routinemäßige Wartungsarbeiten von legitimen Maintainern aussehen

Stufe 3: VS Code-Task-Ausführung (TasksJacker)

Bösartige .vscode/tasks.json-Dateien werden in Repositories injiziert. Wenn ein Entwickler ein kompromittiertes Repo klont und in VS Code öffnet, wird der Task automatisch ohne weitere Benutzerinteraktion ausgeführt. Dies umgeht den Social-Engineering-Schritt, der in früheren Contagious-Interview-Kampagnen verwendet wurde, vollständig .

Stufe 4: Blockchain-basierte Payload-Übermittlung (C2)

Der deobfuskierte JavaScript-Loader ruft seine Payload der nächsten Stufe ab, indem er verschlüsselte Daten liest, die in Transaktionen von Kryptowährungs-Blockchains eingebettet sind. Die Kampagne nutzt die TRON-, Aptos- und BSC (BNB Smart Chain)-Blockchain-Netzwerke als Dead-Drop-C2-Kanäle . Diese "Etherhiding"-Technik macht die Beseitigung extrem schwierig, da die C2-Daten unveränderlich auf öffentlichen Blockchains existieren.

Gelieferte Malware-Payloads

PolinRider liefert eine Reihe bösartiger Payloads mit spezifischen Fähigkeiten:

BeaverTail (JavaScript-basierter Dropper/Infostealer)

Die primäre Malware-Familie, die ausgeliefert wird, ist eine neue Variante von BeaverTail, einer bekannten JavaScript-basierten Malware, die mit DVRK-Operationen in Verbindung gebracht wird. Sie fungiert als Erststufen-Dropper und Credential-Harvester .

DEV#POPPER.js (Remote Access Trojan)

Die Infektionskette liefert einen JavaScript-basierten RAT, der als DEV#POPPER.js getrackt wird. Er bietet vollständige Remote-Code-Ausführung (RCE), dauerhaften Zugriff und die Fähigkeit, beliebige Befehle auf dem kompromittierten Entwickler-Workstation auszuführen. Die Threat Response Unit (TRU) von eSentire entdeckte ihn im Februar 2026 in freier Wildbahn mit Schwerpunkt auf der Energie-, Versorgungs- und Abfallwirtschaft .

OmniStealer (Information Stealer)

Zusammen mit DEV#POPPER eingesetzt, zielt OmniStealer aggressiv auf Krypto-Wallet-Anmeldedaten, private Schlüssel, im Browser gespeicherte Anmeldedaten, Sitzungstoken, API-Schlüssel und CI/CD-Geheimnisse ab .

Andere Payloads

• PylangGhost: Ein Python-basierter Backdoor, der erstmals über npm-Pakete verbreitet wurde
• Socket.io-Backdoor: Stellt eine dauerhafte Reverse-Shell-Kommunikation mit der Angreifer-Infrastruktur her

Verbindung zu Contagious Interview

PolinRider ist eine direkte operative Weiterentwicklung der Contagious Interview-Kampagne. Während Contagious Interview historisch auf gefälschte Jobinterview-Locksvögel und Social Engineering setzte, um Entwickler zur Installation trojanisierter Projekte zu bewegen, markiert PolinRider eine Verschiebung hin zu vollautomatischer, Social-Engineering-freier Supply-Chain-Kompromittierung .

Wichtige Unterschiede und Überschneidungen:

• Beide Kampagnen teilen sich die gleiche BeaverTail-Malware-Familie und überlappende C2-Infrastruktur
• PolinRider/TasksJacker eliminiert die soziale Ebene vollständig – die Kompromittierung erfolgt automatisch über bösartige Pakete und VS Code-Auto-Run-Tasks
• Beide nutzen Blockchain-basierte Payload-Übermittlung

Empfohlene Abwehrmaßnahmen

Basierend auf den Leitlinien von OpenSourceMalware, Socket Security, Sonatype und anderen Forschern sollten Organisationen die folgenden Schritte unternehmen:

Sofortmaßnahmen

1. Jede betroffene Umgebung als vollständig kompromittiert betrachten – von Diebstahl von Anmeldedaten und Geheimnissen ausgehen, bis das Gegenteil bewiesen ist
2. Betroffene Pakete entfernen aus package.json, go.mod und Lockfiles
3. Den gesamten ausgehenden Netzwerkverkehr von Entwickler-Workstations überprüfen, insbesondere Verbindungen zu Blockchain-Knoten und unbekannten IPs
4. Die Arbeit an Codebasen pausieren, die ein betroffenes Paket ausgeführt haben – auf Commits von vor dem bekannten Kompromittierungszeitfenster zurücksetzen
5. Forensische Beweise sichern (Logs, Festplatten-Images) vor der Bereinigung

Code- und Repository-Bereinigung

6. Alle postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs und ähnliche Dateien auf angehängtes obfuskiertes JavaScript scannen
7. .vscode/-Verzeichnisse auf unerwartete tasks.json mit Auto-Run-Konfigurationen überprüfen
8. .woff2- und andere binäre Asset-Dateien auf eingebettetes JavaScript überprüfen
9. Git-History auf zurückdatierte Commits von unbekannten Autoren prüfen – der sichtbaren Commit-History allein nicht trauen

Langfristige Härtung

10. Egress-Filtering in Entwicklernetzwerken implementieren, um ausgehende Verbindungen einzuschränken
11. Paketintegritätsprüfung verwenden (Lockfiles, Prüfsummenvalidierung, npm audit, socket.dev-Scanning) vor der Installation
12. VS Code Auto-Run-Tasks deaktivieren in Entwicklungsumgebungen, wo sie nicht explizit benötigt werden
13. Statische Analyseregeln bereitstellen – Datadog bietet eine dedizierte PolinRider-Erkennungsregel für JavaScript/Node.js-Code-Sicherheitsscans
14. Auf Blockchain-basierte C2-Indikatoren überwachen – ungewöhnliche DNS-Abfragen an Blockchain-APIs oder nicht standardmäßige ausgehende Verbindungen auf Entwicklerrechnern
15. Aus bekannten guten Lockfiles neu aufbauen und alle Geheimnisse, API-Schlüssel und kryptografischen Schlüssel rotieren, die auf einer betroffenen Workstation exponiert gewesen sein könnten

Umfang und Ausmaß

Das Ausmaß von PolinRider ist immens und wächst rasant:

• 1.951 kompromittierte GitHub-Repositories von 1.047 verschiedenen Besitzern (Stand Ende April 2026)
• Die Anzahl der betroffenen Repositories hat sich in den fünf Wochen nach der ersten Veröffentlichung etwa verdreifacht
• Mehr als 1.700 bösartige npm-Pakete wurden im Rahmen der breiteren Contagious-Interview-Operation veröffentlicht

Betroffene Ökosysteme

Die Kampagne hat sich weit über ihren ursprünglichen Vektor npm hinaus ausgebreitet:

• npm (Node.js): Das primäre Ziel mit Hunderten bösartigen Paketen, darunter dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt und debug-glit
• PyPI (Python): Python-Pakete, die im Rahmen der Contagious-Interview-Operation verteilt wurden
• Go (Go Module Mirror): Bösartige Go-Pakete, identifiziert von Socket Security
• Packagist (PHP/Composer): Ausweitung auf dieses Ökosystem bis Juli 2026
• Rust (crates.io): Ebenfalls im Visier der breiteren Kampagne
• GitHub Actions und VS Code-Erweiterungen: Kompromittiert durch bösartige .vscode/tasks.json-Dateien und injizierte CI/CD-Pipelines

Die Kampagne kompromittierte im April 2026 auch die weit verbreitete Axios-npm-Bibliothek (Versionen 1.14.1 und 0.30.0) über eine bösartige Abhängigkeit namens plain-crypto-js, was etwa 100 Millionen wöchentliche Downloads betraf .

Die mehrstufige Infektionstechnik

Die PolinRider-Infektionskette ist ein sorgfältig orchestrierter, vierstufiger Prozess, der maximale Heimlichkeit erfordert und die Interaktion mit dem Opfer minimiert.

Stufe 1: Obfuskierte JavaScript-Loader in Konfigurationsdateien

Angreifer hängen stark obfuskierte JavaScript-Blöcke an das Ende legitimer Entwicklerkonfigurationsdateien wie postcss.config.mjs, tailwind.config.js, eslint.config.mjs und next.config.mjs an . Die bösartigen Zeilen werden durch übermäßige Leerzeichen aufgepolstert, sodass sie über die Standard-IDE-Ansichtsbreite hinausgeschoben werden und bei einer schnellen Code-Überprüfung unsichtbar bleiben .

Stufe 2: Raffinierte Versteckmethoden

PolinRider verwendet drei primäre Verstecktechniken:

• Gefälschte .woff2-Schriftdateien: Das obfuskierte JavaScript wird als Webfont-Datei getarnt – ein Format, das die meisten Entwickler nie überprüfen
• Leerzeichen-Polsterung: Ausführbare Zeilen werden weit nach rechts außerhalb des sichtbaren Viewports verschoben
• Git-History-Fälschung (ForceMemo): Ein Modul, das die Git-History umschreibt und bösartige Commits Monate zurückdatiert, sodass sie wie routinemäßige Wartungsarbeiten von legitimen Maintainern aussehen

Stufe 3: VS Code-Task-Ausführung (TasksJacker)

Bösartige .vscode/tasks.json-Dateien werden in Repositories injiziert. Wenn ein Entwickler ein kompromittiertes Repo klont und in VS Code öffnet, wird der Task automatisch ohne weitere Benutzerinteraktion ausgeführt. Dies umgeht den Social-Engineering-Schritt, der in früheren Contagious-Interview-Kampagnen verwendet wurde, vollständig .

Stufe 4: Blockchain-basierte Payload-Übermittlung (C2)

Der deobfuskierte JavaScript-Loader ruft seine Payload der nächsten Stufe ab, indem er verschlüsselte Daten liest, die in Transaktionen von Kryptowährungs-Blockchains eingebettet sind. Die Kampagne nutzt die TRON-, Aptos- und BSC (BNB Smart Chain)-Blockchain-Netzwerke als Dead-Drop-C2-Kanäle . Diese "Etherhiding"-Technik macht die Beseitigung extrem schwierig, da die C2-Daten unveränderlich auf öffentlichen Blockchains existieren.

Gelieferte Malware-Payloads

PolinRider liefert eine Reihe bösartiger Payloads mit spezifischen Fähigkeiten:

BeaverTail (JavaScript-basierter Dropper/Infostealer)

Die primäre Malware-Familie, die ausgeliefert wird, ist eine neue Variante von BeaverTail, einer bekannten JavaScript-basierten Malware, die mit DVRK-Operationen in Verbindung gebracht wird. Sie fungiert als Erststufen-Dropper und Credential-Harvester .

DEV#POPPER.js (Remote Access Trojan)

Die Infektionskette liefert einen JavaScript-basierten RAT, der als DEV#POPPER.js getrackt wird. Er bietet vollständige Remote-Code-Ausführung (RCE), dauerhaften Zugriff und die Fähigkeit, beliebige Befehle auf dem kompromittierten Entwickler-Workstation auszuführen. Die Threat Response Unit (TRU) von eSentire entdeckte ihn im Februar 2026 in freier Wildbahn mit Schwerpunkt auf der Energie-, Versorgungs- und Abfallwirtschaft .

OmniStealer (Information Stealer)

Zusammen mit DEV#POPPER eingesetzt, zielt OmniStealer aggressiv auf Krypto-Wallet-Anmeldedaten, private Schlüssel, im Browser gespeicherte Anmeldedaten, Sitzungstoken, API-Schlüssel und CI/CD-Geheimnisse ab .

Andere Payloads

• PylangGhost: Ein Python-basierter Backdoor, der erstmals über npm-Pakete verbreitet wurde
• Socket.io-Backdoor: Stellt eine dauerhafte Reverse-Shell-Kommunikation mit der Angreifer-Infrastruktur her

Verbindung zu Contagious Interview

PolinRider ist eine direkte operative Weiterentwicklung der Contagious Interview-Kampagne. Während Contagious Interview historisch auf gefälschte Jobinterview-Locksvögel und Social Engineering setzte, um Entwickler zur Installation trojanisierter Projekte zu bewegen, markiert PolinRider eine Verschiebung hin zu vollautomatischer, Social-Engineering-freier Supply-Chain-Kompromittierung .

Wichtige Unterschiede und Überschneidungen:

• Beide Kampagnen teilen sich die gleiche BeaverTail-Malware-Familie und überlappende C2-Infrastruktur
• PolinRider/TasksJacker eliminiert die soziale Ebene vollständig – die Kompromittierung erfolgt automatisch über bösartige Pakete und VS Code-Auto-Run-Tasks
• Beide nutzen Blockchain-basierte Payload-Übermittlung

Empfohlene Abwehrmaßnahmen

Basierend auf den Leitlinien von OpenSourceMalware, Socket Security, Sonatype und anderen Forschern sollten Organisationen die folgenden Schritte unternehmen:

Sofortmaßnahmen

1. Jede betroffene Umgebung als vollständig kompromittiert betrachten – von Diebstahl von Anmeldedaten und Geheimnissen ausgehen, bis das Gegenteil bewiesen ist
2. Betroffene Pakete entfernen aus package.json, go.mod und Lockfiles
3. Den gesamten ausgehenden Netzwerkverkehr von Entwickler-Workstations überprüfen, insbesondere Verbindungen zu Blockchain-Knoten und unbekannten IPs
4. Die Arbeit an Codebasen pausieren, die ein betroffenes Paket ausgeführt haben – auf Commits von vor dem bekannten Kompromittierungszeitfenster zurücksetzen
5. Forensische Beweise sichern (Logs, Festplatten-Images) vor der Bereinigung

Code- und Repository-Bereinigung

6. Alle postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs und ähnliche Dateien auf angehängtes obfuskiertes JavaScript scannen
7. .vscode/-Verzeichnisse auf unerwartete tasks.json mit Auto-Run-Konfigurationen überprüfen
8. .woff2- und andere binäre Asset-Dateien auf eingebettetes JavaScript überprüfen
9. Git-History auf zurückdatierte Commits von unbekannten Autoren prüfen – der sichtbaren Commit-History allein nicht trauen

Langfristige Härtung

10. Egress-Filtering in Entwicklernetzwerken implementieren, um ausgehende Verbindungen einzuschränken
11. Paketintegritätsprüfung verwenden (Lockfiles, Prüfsummenvalidierung, npm audit, socket.dev-Scanning) vor der Installation
12. VS Code Auto-Run-Tasks deaktivieren in Entwicklungsumgebungen, wo sie nicht explizit benötigt werden
13. Statische Analyseregeln bereitstellen – Datadog bietet eine dedizierte PolinRider-Erkennungsregel für JavaScript/Node.js-Code-Sicherheitsscans
14. Auf Blockchain-basierte C2-Indikatoren überwachen – ungewöhnliche DNS-Abfragen an Blockchain-APIs oder nicht standardmäßige ausgehende Verbindungen auf Entwicklerrechnern
15. Aus bekannten guten Lockfiles neu aufbauen und alle Geheimnisse, API-Schlüssel und kryptografischen Schlüssel rotieren, die auf einer betroffenen Workstation exponiert gewesen sein könnten