PolinRider: El ataque masivo de Corea del Norte que infectó casi 2.000 repositorios de GitHub

La campaña PolinRider representa uno de los ataques más agresivos y técnicamente sofisticados jamás atribuidos a Corea del Norte contra la cadena de suministro de código abierto. Detectada por primera vez por OpenSourceMalware en marzo de 2026, se ha expandido rápidamente a través de múltiples ecosistemas de paquetes y herramientas de desarrollo, comprometiendo cerca de 2.000 repositorios de GitHub y utilizando la tecnología blockchain para hacer resiliente su infraestructura de comando y control (C2) .

Atribución e Identidad de la Campaña

PolinRider se atribuye a la República Popular Democrática de Corea (RPDC) y está alineada con el grupo Lazarus. Opera como una subcampaña dentro del clúster más amplio conocido como Contagious Interview (también rastreado como Famous Chollima) . La campaña se ha fusionado operativamente con la relacionada TasksJacker, que se centra en abusar de la automatización de tareas de VS Code .

Alcance y Magnitud

La escala de PolinRider es vasta y crece rápidamente:

• 1.951 repositorios comprometidos de GitHub pertenecientes a 1.047 propietarios únicos según datos de finales de abril de 2026 .
• El número de repositorios afectados se triplicó aproximadamente en las cinco semanas posteriores a la divulgación inicial .
• Se han publicado más de 1.700 paquetes npm maliciosos como parte de la operación Contagious Interview .

Ecosistemas Atacados

La campaña se ha extendido mucho más allá de npm, su vector inicial:

• npm (Node.js): El objetivo principal, con cientos de paquetes maliciosos como dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt y debug-glit .
• PyPI (Python): Paquetes de Python distribuidos como parte de la operación Contagious Interview .
• Go (Go Module Mirror): Paquetes maliciosos de Go identificados por Socket Security .
• Packagist (PHP/Composer): Se expandió a este ecosistema en julio de 2026 .
• Rust (crates.io): Atacado dentro de la campaña más amplia .
• GitHub Actions y extensiones de VS Code: Comprometidos a través de archivos .vscode/tasks.json maliciosos y pipelines de CI inyectados .

La campaña también comprometió la librería Axios (versiones 1.14.1 y 0.30.0) en abril de 2026 a través de una dependencia maliciosa llamada plain-crypto-js, afectando aproximadamente a 100 millones de descargas semanales .

La Técnica de Infección en Múltiples Etapas

La cadena de infección de PolinRider es un proceso de cuatro etapas cuidadosamente orquestado, diseñado para maximizar el sigilo y minimizar la necesidad de interacción de la víctima.

Etapa 1: Cargadores JavaScript Ofuscados en Archivos de Configuración

Los atacantes añaden JavaScript fuertemente ofuscado al final de archivos de configuración legítimos de desarrolladores, como postcss.config.mjs, tailwind.config.js, eslint.config.mjs y next.config.mjs . Las líneas maliciosas se rellenan con un exceso de espacios en blanco, empujando el código más allá del ancho de visualización predeterminado del IDE, haciéndolo invisible durante una revisión de código casual .

Etapa 2: Métodos Sofisticados de Ocultamiento

PolinRider emplea tres técnicas principales de ocultamiento:

• Archivos de fuente .woff2 falsos: El JavaScript ofuscado se disfraza como un archivo de fuente web, un formato binario que la mayoría de los desarrolladores nunca inspecciona .
• Relleno con espacios en blanco: Las líneas ejecutables se desplazan hacia la derecha del viewport visible .
• Falsificación del historial de Git (ForceMemo): Un módulo que reescribe el historial de Git, retrocediendo en el tiempo las confirmaciones maliciosas para que parezcan mantenimiento rutinario de mantenedores legítimos .

Etapa 3: Ejecución de Tareas de VS Code (TasksJacker)

Se inyectan archivos .vscode/tasks.json maliciosos en los repositorios. Cuando un desarrollador clona un repositorio comprometido y lo abre en VS Code, la tarea se ejecuta automáticamente sin necesidad de interacción del usuario. Esto evita por completo el paso de ingeniería social utilizado en campañas anteriores de Contagious Interview .

Etapa 4: Recuperación de la Carga desde la Blockchain (C2)

El cargador JavaScript desofuscado recupera la siguiente etapa de la carga maliciosa leyendo datos cifrados incrustados en transacciones de criptomonedas. La campaña utiliza las blockchains TRON, Aptos y BSC (BNB Smart Chain) como canales C2 de dead-drop . Esta técnica de "etherhiding" hace que la eliminación de la infraestructura sea extremadamente difícil, ya que los datos de C2 residen de forma inmutable en blockchains públicas.

Cargas Maliciosas Distribuidas

PolinRider distribuye un conjunto de cargas maliciosas, cada una con capacidades específicas:

BeaverTail (Dropper/Robo de Credenciales basado en JavaScript)

La principal familia de malware distribuida es una nueva variante de BeaverTail, un conocido malware JavaScript asociado con operaciones de la RPDC. Actúa como un dropper de primera etapa y un recolector de credenciales .

DEV#POPPER.js (Troyano de Acceso Remoto - RAT)

La cadena de infección distribuye un RAT basado en JavaScript rastreado como DEV#POPPER.js. Proporciona capacidades completas de ejecución remota de código, acceso persistente y la capacidad de ejecutar comandos arbitrarios en la estación de trabajo del desarrollador comprometida. La Unidad de Respuesta a Amenazas (TRU) de eSentire lo detectó atacando al sector de Energía, Servicios Públicos y Residuos en febrero de 2026 .

OmniStealer (Robo de Información)

Desplegado junto con DEV#POPPER, OmniStealer ataca agresivamente credenciales de billeteras de criptomonedas, claves privadas, credenciales almacenadas en el navegador, tokens de sesión, claves API y secretos de CI/CD .

Otras Cargas

• PylangGhost: Una puerta trasera basada en Python, que marca la primera vez que este malware se propagó a través de paquetes npm .
• Puerta trasera Socket.io: Establece comunicación persistente de shell inversa con la infraestructura del atacante .

Conexión con Contagious Interview

PolinRider es una evolución operativa directa de la campaña Contagious Interview. Mientras que Contagious Interview se basaba históricamente en señuelos de falsas entrevistas de trabajo e ingeniería social para engañar a los desarrolladores e instalar proyectos troyanizados, PolinRider representa un cambio hacia un compromiso de la cadena de suministro totalmente automatizado y sin ingeniería social .

Las diferencias y superposiciones clave incluyen:

• Ambas campañas comparten la misma familia de malware BeaverTail y una infraestructura C2 superpuesta .
• PolinRider/TasksJacker elimina por completo la capa social: el compromiso ocurre automáticamente a través de paquetes maliciosos y tareas de ejecución automática de VS Code.
• Ambas utilizan la recuperación de cargas basada en blockchain .

Respuesta Defensiva Recomendada

Basándose en la orientación de OpenSourceMalware, Socket Security, Sonatype y otros investigadores, las organizaciones deben tomar las siguientes medidas:

Acciones Inmediatas

1. Tratar cualquier entorno afectado como completamente comprometido — asumir que las credenciales y los secretos han sido robados hasta que se demuestre lo contrario .
2. Eliminar los paquetes afectados de package.json, go.mod y los archivos de bloqueo (lockfiles) .
3. Revisar toda la actividad de red saliente de las estaciones de trabajo de los desarrolladores, especialmente las conexiones a nodos de blockchain y direcciones IP desconocidas .
4. Pausar el trabajo en cualquier código base que haya ejecutado un paquete afectado — revertir a confirmaciones anteriores a la ventana de compromiso conocida .
5. Preservar la evidencia forense (registros, imágenes de disco) antes de la remediación .

Limpieza de Código y Repositorios

6. Examinar todos los archivos postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs y similares en busca de JavaScript ofuscado añadido .
7. Inspeccionar los directorios .vscode/ en busca de tasks.json inesperados con configuraciones de ejecución automática .
8. Revisar los archivos .woff2 y otros activos binarios en busca de JavaScript incrustado .
9. Auditar el historial de Git en busca de confirmaciones retrocedidas en el tiempo de autores desconocidos — no confiar únicamente en el historial de confirmaciones visible .

Endurecimiento a Largo Plazo

10. Implementar filtrado de tráfico de salida (egress filtering) en las redes de desarrolladores para restringir las conexiones salientes .
11. Utilizar verificación de integridad de paquetes (archivos de bloqueo, validación de sumas de comprobación,

    npm audit

    , escaneo con socket.dev) antes de la instalación .
12. Deshabilitar las tareas de ejecución automática de VS Code en entornos de desarrollo donde no sean explícitamente necesarias .
13. Implementar reglas de análisis estático — Datadog ofrece una regla de detección PolinRider específica para el escaneo de seguridad de código JavaScript/Node.js .
14. Monitorear indicadores de C2 basados en blockchain — búsquedas DNS inusuales a APIs de blockchain o conexiones salientes no estándar en las máquinas de los desarrolladores .
15. Reconstruir a partir de archivos de bloqueo conocidos como seguros y volver a rotar todos los secretos, claves API y claves criptográficas que puedan haber estado expuestos en cualquier estación de trabajo afectada .