Laajuus ja mittakaava

PolinRiderin laajuus on valtava ja kasvaa nopeasti:

• 1 951 vaarantunutta GitHub-repositoriota, jotka kuuluvat 1 047 eri omistajalle huhtikuun 2026 lopun tietojen mukaan
• Vaarantuneiden repositorioiden määrä lähes kolminkertaistui viidessä viikossa ensimmäisen paljastuksen jälkeen
• Yli 1 700 haitallista npm-pakettia on julkaistu osana laajempaa Contagious Interview -operaatiota

Kohdennetut ekosysteemit

Kampanja on levinnyt kauas npm:stä, joka oli sen alkuperäinen vektori:

• npm (Node.js): Ensisijainen kohde, satoja haitallisia paketteja kuten dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt ja debug-glit
• PyPI (Python): Python-paketteja jaeltiin osana Contagious Interview -operaatiota
• Go (Go Module Mirror): Socket Security tunnisti haitallisia Go-paketteja
• Packagist (PHP/Composer): Laajentui tähän ekosysteemiin heinäkuuhun 2026 mennessä
• Rust (crates.io): Kohdennettu laajemmassa kampanjassa
• GitHub Actions ja VS Code -laajennukset: Vaarannettu haitallisten .vscode/tasks.json-tiedostojen ja lisättyjen CI-putkien kautta

Kampanja vaaransi myös laajalti käytetyn Axios-npm-kirjaston (versiot 1.14.1 ja 0.30.0) huhtikuussa 2026 haitallisen plain-crypto-js-riippuvuuden kautta, mikä vaikutti noin 100 miljoonaan viikoittaiseen lataukseen .

Monivaiheinen tartuntatekniikka

PolinRiderin tartuntaketju on huolellisesti orkestroitu nelivaiheinen prosessi, joka on suunniteltu maksimoimaan salailu ja minimoimaan uhrin vuorovaikutuksen tarve.

Vaihe 1: Hämärytetty JavaScript- lataaja konfiguraatiotiedostoissa

Hyökkääjät lisäävät voimakkaasti hämärytettyä JavaScriptiä oikeiden kehittäjän konfiguraatiotiedostojen, kuten postcss.config.mjs, tailwind.config.js, eslint.config.mjs ja next.config.mjs, loppuun . Haitalliset rivit on täytetty ylimääräisillä välilyönneillä, mikä työntää koodin IDE:n oletusnäkymän leveyden ulkopuolelle ja tekee siitä näkymätöntä satunnaisessa koodiarvioinnissa .

Vaihe 2: Kehittyneet piilotustavat

PolinRider käyttää kolmea ensisijaista piilotustekniikkaa:

• Vale .woff2-fonttitiedostot: Hämärytetty JavaScript naamioidaan verkkofonttitiedostoksi, binäärimuotoon, jota useimmat kehittäjät eivät koskaan tarkista
• Välilyönti täyte: Suoritettavat rivit täytetään kauas näkyvän näkymän oikealle puolelle
• Git-historian väärentäminen (ForceMemo): Moduuli, joka kirjoittaa Git-historiaa uudelleen ja ajoittaa haitalliset sitoumukset kuukausien päähän näyttämään rutiinihuollolta laillisilta ylläpitäjiltä

Vaihe 3: VS Code -tehtävän suoritus (TasksJacker)

Haitallisia .vscode/tasks.json-tiedostoja lisätään repositorioihin. Kun kehittäjä kloonaa vaarantuneen repositorion ja avaa sen VS Codessa, tehtävä suoritetaan automaattisesti ilman lisätoimia. Tämä ohittaa aiemmissa Contagious Interview -kampanjoissa käytetyn sosiaalisen manipuloinnin vaiheen kokonaan .

Vaihe 4: Lohkoketjupohjainen hyötykuorman nouto (C2)

Hämärytyksen purkamisen jälkeen JavaScript-lataaja noutaa seuraavan vaiheen hyötykuorman lukemalla salattua dataa, joka on upotettu kryptovaluutan lohkoketjutapahtumiin. Kampanja käyttää TRON-, Aptos- ja BSC (BNB Smart Chain) -lohkoketjuverkkoja kuollut-solmu-C2-kanavina . Tämä "etherhiding"-tekniikka tekee torjunnasta erittäin vaikeaa, koska C2-data on muuttumattomasti julkisissa lohkoketjuissa.

Toimitetut haittaohjelmat

PolinRider toimittaa joukon haitallisia hyötykuormia, joilla kullakin on omat kykynsä:

BeaverTail (JavaScript-pohjainen tippaaja/tiedonvaras)

Ensisijainen toimitettu haittaohjelmaperhe on uusi variantti BeaverTailista, tunnetusta JavaScript-pohjaisesta haittaohjelmasta, joka liittyy Pohjois-Korean operaatioihin. Se toimii ensimmäisen vaiheen tippaajana ja tunnisteenkerääjänä .

DEV#POPPER.js (etäkäyttötroijalainen)

Tartuntaketju toimittaa JavaScript-pohjaisen RAT:n, jota seurataan nimellä DEV#POPPER.js. Se tarjoaa täydellisen etäkoodin suorituskyvyn (RCE), pysyvän pääsyn ja kyvyn suorittaa mielivaltaisia komentoja vaarantuneella kehittäjän työasemalla. eSentiren Threat Response Unit (TRU) havaitsi sen livenä kohdistamassa energia-, hyöty- ja jätealaa helmikuussa 2026 .

OmniStealer (tiedonvaras)

DEV#POPPERin rinnalla käyttöön otettu OmniStealer kohdistaa aggressiivisesti kryptovaluuttalompakkojen tunnistetietoja, yksityisiä avaimia, selaimessa tallennettuja tunnistetietoja, istuntotokeneita, API-avaimia ja CI/CD-salaisuuksia .

Muut hyötykuormat

• PylangGhost: Python-pohjainen takaovi, joka on ensimmäinen kerta, kun tämä haittaohjelma on levinnyt npm-pakettien kautta
• Socket.io-takaovi: Luo pysyvän käänteisen kuoren viestinnän hyökkääjän infrastruktuuriin

Yhteys Contagious Interviewiin

PolinRider on suora operatiivinen kehitysaskel Contagious Interview -kampanjasta. Siinä missä Contagious Interview luotti aiemmin väärennettyihin työhaastattelusyötteisiin ja sosiaaliseen manipulointiin saadakseen kehittäjät asentamaan troijalaistettuja projekteja, PolinRider edustaa siirtymää täysin automatisoituun, sosiaalista manipulointia vaatimattomaan toimitusketjun kompromissiin .

Keskeiset erot ja yhtäläisyydet:

• Molemmat kampanjat käyttävät samaa BeaverTail-haittaohjelmaperhettä ja päällekkäistä C2-infrastruktuuria
• PolinRider/TasksJacker poistaa sosiaalisen kerroksen kokonaan – kompromissi tapahtuu automaattisesti haitallisten pakettien ja VS Coden automaattisesti suoritettavien tehtävien kautta
• Molemmat käyttävät lohkoketjupohjaista hyötykuorman noutoa

Suositellut puolustustoimenpiteet

OpenSourceMalwaren, Socket Securityn, Sonatypen ja muiden tutkijoiden ohjeiden perusteella organisaatioiden tulisi toteuttaa seuraavat toimenpiteet:

Välittömät toimet

1. Käsittele mitä tahansa vaarantunutta ympäristöä täysin kompromettoituna – oleta, että tunnistetiedot ja salaisuudet on varastettu, kunnes toisin todistetaan
2. Poista vaikutuksen alaiset paketit package.json-, go.mod- ja lukitustiedostoista
3. Tarkista kaikki kehittäjien työasemien lähtevä verkkoliikenne, erityisesti yhteydet lohkoketjusolmuihin ja tuntemattomiin IP-osoitteisiin
4. Keskeytä työskentely millä tahansa koodipohjalla, jossa vaikutuksen alaista pakettia on ajettu – palaa sitoumuksiin, jotka on tehty ennen tunnetun kompromissin ajankohtaa
5. Säilytä oikeuslääketieteellinen todistusaineisto (lokit, levykuvat) ennen korjausta

Koodin ja repositorion puhdistus

6. Skannaa kaikki postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs ja vastaavat tiedostot lisätyn hämärytetyn JavaScriptin varalta
7. Tarkista .vscode/-hakemistot odottamattomien tasks.json-tiedostojen varalta, joissa on automaattinen suorituskonfiguraatio
8. Tarkista .woff2- ja muut binääritiedostot upotetun JavaScriptin varalta
9. Auditoi Git-historia tuntemattomien tekijöiden taaksepäin ajoitettujen sitoumusten varalta – älä luota pelkästään näkyvään sitoumushistoriaan

Pitkän aikavälin vahvistaminen

10. Ota käyttöön egress-suodatus kehittäjäverkoissa rajoittaaksesi lähteviä yhteyksiä
11. Käytä paketin eheyden varmennusta (lukitustiedostot, tarkistussumman validointi, npm audit, socket.dev-skannaus) ennen asennusta
12. Poista VS Coden automaattiset tehtävät käytöstä kehitysympäristöissä, joissa niitä ei nimenomaisesti tarvita
13. Ota käyttöön staattisen analyysin säännöt – Datadog tarjoaa omistetun PolinRider-tunnistussäännön JavaScript/Node.js-koodin turvallisuusskannaukseen
14. Valvo lohkoketjupohjaisia C2-indikaattoreita – epätavalliset DNS-haut lohkoketju-API:hin tai epätyypilliset lähtevät yhteydet kehittäjien koneilla
15. Rakenna uudelleen tunnetuista hyvistä lukitustiedostoista ja kierrätä kaikki salaisuudet, API-avaimet ja kryptografiset avaimet, jotka ovat saattaneet paljastua millä tahansa vaikutuksen alaisella työasemalla

Laajuus ja mittakaava

PolinRiderin laajuus on valtava ja kasvaa nopeasti:

• 1 951 vaarantunutta GitHub-repositoriota, jotka kuuluvat 1 047 eri omistajalle huhtikuun 2026 lopun tietojen mukaan
• Vaarantuneiden repositorioiden määrä lähes kolminkertaistui viidessä viikossa ensimmäisen paljastuksen jälkeen
• Yli 1 700 haitallista npm-pakettia on julkaistu osana laajempaa Contagious Interview -operaatiota

Kohdennetut ekosysteemit

Kampanja on levinnyt kauas npm:stä, joka oli sen alkuperäinen vektori:

• npm (Node.js): Ensisijainen kohde, satoja haitallisia paketteja kuten dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt ja debug-glit
• PyPI (Python): Python-paketteja jaeltiin osana Contagious Interview -operaatiota
• Go (Go Module Mirror): Socket Security tunnisti haitallisia Go-paketteja
• Packagist (PHP/Composer): Laajentui tähän ekosysteemiin heinäkuuhun 2026 mennessä
• Rust (crates.io): Kohdennettu laajemmassa kampanjassa
• GitHub Actions ja VS Code -laajennukset: Vaarannettu haitallisten .vscode/tasks.json-tiedostojen ja lisättyjen CI-putkien kautta

Kampanja vaaransi myös laajalti käytetyn Axios-npm-kirjaston (versiot 1.14.1 ja 0.30.0) huhtikuussa 2026 haitallisen plain-crypto-js-riippuvuuden kautta, mikä vaikutti noin 100 miljoonaan viikoittaiseen lataukseen .

Monivaiheinen tartuntatekniikka

PolinRiderin tartuntaketju on huolellisesti orkestroitu nelivaiheinen prosessi, joka on suunniteltu maksimoimaan salailu ja minimoimaan uhrin vuorovaikutuksen tarve.

Vaihe 1: Hämärytetty JavaScript- lataaja konfiguraatiotiedostoissa

Hyökkääjät lisäävät voimakkaasti hämärytettyä JavaScriptiä oikeiden kehittäjän konfiguraatiotiedostojen, kuten postcss.config.mjs, tailwind.config.js, eslint.config.mjs ja next.config.mjs, loppuun . Haitalliset rivit on täytetty ylimääräisillä välilyönneillä, mikä työntää koodin IDE:n oletusnäkymän leveyden ulkopuolelle ja tekee siitä näkymätöntä satunnaisessa koodiarvioinnissa .

Vaihe 2: Kehittyneet piilotustavat

PolinRider käyttää kolmea ensisijaista piilotustekniikkaa:

• Vale .woff2-fonttitiedostot: Hämärytetty JavaScript naamioidaan verkkofonttitiedostoksi, binäärimuotoon, jota useimmat kehittäjät eivät koskaan tarkista
• Välilyönti täyte: Suoritettavat rivit täytetään kauas näkyvän näkymän oikealle puolelle
• Git-historian väärentäminen (ForceMemo): Moduuli, joka kirjoittaa Git-historiaa uudelleen ja ajoittaa haitalliset sitoumukset kuukausien päähän näyttämään rutiinihuollolta laillisilta ylläpitäjiltä

Vaihe 3: VS Code -tehtävän suoritus (TasksJacker)

Haitallisia .vscode/tasks.json-tiedostoja lisätään repositorioihin. Kun kehittäjä kloonaa vaarantuneen repositorion ja avaa sen VS Codessa, tehtävä suoritetaan automaattisesti ilman lisätoimia. Tämä ohittaa aiemmissa Contagious Interview -kampanjoissa käytetyn sosiaalisen manipuloinnin vaiheen kokonaan .

Vaihe 4: Lohkoketjupohjainen hyötykuorman nouto (C2)

Hämärytyksen purkamisen jälkeen JavaScript-lataaja noutaa seuraavan vaiheen hyötykuorman lukemalla salattua dataa, joka on upotettu kryptovaluutan lohkoketjutapahtumiin. Kampanja käyttää TRON-, Aptos- ja BSC (BNB Smart Chain) -lohkoketjuverkkoja kuollut-solmu-C2-kanavina . Tämä "etherhiding"-tekniikka tekee torjunnasta erittäin vaikeaa, koska C2-data on muuttumattomasti julkisissa lohkoketjuissa.

Toimitetut haittaohjelmat

PolinRider toimittaa joukon haitallisia hyötykuormia, joilla kullakin on omat kykynsä:

BeaverTail (JavaScript-pohjainen tippaaja/tiedonvaras)

Ensisijainen toimitettu haittaohjelmaperhe on uusi variantti BeaverTailista, tunnetusta JavaScript-pohjaisesta haittaohjelmasta, joka liittyy Pohjois-Korean operaatioihin. Se toimii ensimmäisen vaiheen tippaajana ja tunnisteenkerääjänä .

DEV#POPPER.js (etäkäyttötroijalainen)

Tartuntaketju toimittaa JavaScript-pohjaisen RAT:n, jota seurataan nimellä DEV#POPPER.js. Se tarjoaa täydellisen etäkoodin suorituskyvyn (RCE), pysyvän pääsyn ja kyvyn suorittaa mielivaltaisia komentoja vaarantuneella kehittäjän työasemalla. eSentiren Threat Response Unit (TRU) havaitsi sen livenä kohdistamassa energia-, hyöty- ja jätealaa helmikuussa 2026 .

OmniStealer (tiedonvaras)

DEV#POPPERin rinnalla käyttöön otettu OmniStealer kohdistaa aggressiivisesti kryptovaluuttalompakkojen tunnistetietoja, yksityisiä avaimia, selaimessa tallennettuja tunnistetietoja, istuntotokeneita, API-avaimia ja CI/CD-salaisuuksia .

Muut hyötykuormat

• PylangGhost: Python-pohjainen takaovi, joka on ensimmäinen kerta, kun tämä haittaohjelma on levinnyt npm-pakettien kautta
• Socket.io-takaovi: Luo pysyvän käänteisen kuoren viestinnän hyökkääjän infrastruktuuriin

Yhteys Contagious Interviewiin

PolinRider on suora operatiivinen kehitysaskel Contagious Interview -kampanjasta. Siinä missä Contagious Interview luotti aiemmin väärennettyihin työhaastattelusyötteisiin ja sosiaaliseen manipulointiin saadakseen kehittäjät asentamaan troijalaistettuja projekteja, PolinRider edustaa siirtymää täysin automatisoituun, sosiaalista manipulointia vaatimattomaan toimitusketjun kompromissiin .

Keskeiset erot ja yhtäläisyydet:

• Molemmat kampanjat käyttävät samaa BeaverTail-haittaohjelmaperhettä ja päällekkäistä C2-infrastruktuuria
• PolinRider/TasksJacker poistaa sosiaalisen kerroksen kokonaan – kompromissi tapahtuu automaattisesti haitallisten pakettien ja VS Coden automaattisesti suoritettavien tehtävien kautta
• Molemmat käyttävät lohkoketjupohjaista hyötykuorman noutoa

Suositellut puolustustoimenpiteet

OpenSourceMalwaren, Socket Securityn, Sonatypen ja muiden tutkijoiden ohjeiden perusteella organisaatioiden tulisi toteuttaa seuraavat toimenpiteet:

Välittömät toimet

1. Käsittele mitä tahansa vaarantunutta ympäristöä täysin kompromettoituna – oleta, että tunnistetiedot ja salaisuudet on varastettu, kunnes toisin todistetaan
2. Poista vaikutuksen alaiset paketit package.json-, go.mod- ja lukitustiedostoista
3. Tarkista kaikki kehittäjien työasemien lähtevä verkkoliikenne, erityisesti yhteydet lohkoketjusolmuihin ja tuntemattomiin IP-osoitteisiin
4. Keskeytä työskentely millä tahansa koodipohjalla, jossa vaikutuksen alaista pakettia on ajettu – palaa sitoumuksiin, jotka on tehty ennen tunnetun kompromissin ajankohtaa
5. Säilytä oikeuslääketieteellinen todistusaineisto (lokit, levykuvat) ennen korjausta

Koodin ja repositorion puhdistus

6. Skannaa kaikki postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs ja vastaavat tiedostot lisätyn hämärytetyn JavaScriptin varalta
7. Tarkista .vscode/-hakemistot odottamattomien tasks.json-tiedostojen varalta, joissa on automaattinen suorituskonfiguraatio
8. Tarkista .woff2- ja muut binääritiedostot upotetun JavaScriptin varalta
9. Auditoi Git-historia tuntemattomien tekijöiden taaksepäin ajoitettujen sitoumusten varalta – älä luota pelkästään näkyvään sitoumushistoriaan

Pitkän aikavälin vahvistaminen

10. Ota käyttöön egress-suodatus kehittäjäverkoissa rajoittaaksesi lähteviä yhteyksiä
11. Käytä paketin eheyden varmennusta (lukitustiedostot, tarkistussumman validointi, npm audit, socket.dev-skannaus) ennen asennusta
12. Poista VS Coden automaattiset tehtävät käytöstä kehitysympäristöissä, joissa niitä ei nimenomaisesti tarvita
13. Ota käyttöön staattisen analyysin säännöt – Datadog tarjoaa omistetun PolinRider-tunnistussäännön JavaScript/Node.js-koodin turvallisuusskannaukseen
14. Valvo lohkoketjupohjaisia C2-indikaattoreita – epätavalliset DNS-haut lohkoketju-API:hin tai epätyypilliset lähtevät yhteydet kehittäjien koneilla
15. Rakenna uudelleen tunnetuista hyvistä lukitustiedostoista ja kierrätä kaikki salaisuudet, API-avaimet ja kryptografiset avaimet, jotka ovat saattaneet paljastua millä tahansa vaikutuksen alaisella työasemalla