PolinRider on Pohjois Korean (Lazarus/Contagious Interview klusteri) toimitusketjukampanja, joka huhtikuun 2026 loppuun mennessä oli vaarantanut 1 951 GitHub repositoriota 1 047 eri omistajalta – määrä lähes kolminker... Kampanja on levittänyt yli 1 700 haitallista npm pakettia, ja se on laajentunut PyPI:hin, Go:hun...
Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com
PolinRider-kampanja on yksi aggressiivisimmista ja teknisesti kehittyneimmistä avoimen lähdekoodin toimitusketjuhyökkäyksistä, jotka on koskaan yhdistetty Pohjois-Koreaan. OpenSourceMalware huomasi sen ensimmäisenä maaliskuussa 2026, ja siitä lähtien se on levinnyt nopeasti useisiin pakettiekosysteemeihin ja kehittäjätyökaluihin vaarantaen lähes 2 000 GitHub-repositoriota ja hyödyntäen lohkoketjuteknologiaa komento- ja hallintayhteyksissä (C2) .
Tekijä ja kampanjan tunniste
PolinRider on yhdistetty Korean demokraattiseen kansantasavaltaan (Pohjois-Korea) ja Lazarus-ryhmään. Se toimii laajemman Contagious Interview -klusterin (tunnetaan myös nimellä Famous Chollima) alakampanjana . Kampanja on sulautunut operatiivisesti siihen liittyvään TasksJacker-kampanjaan, joka keskittyy VS Coden tehtäväautomaation väärinkäyttöön .
Laajuus ja mittakaava
PolinRiderin laajuus on valtava ja kasvaa nopeasti:
1 951 vaarantunutta GitHub-repositoriota, jotka kuuluvat 1 047 eri omistajalle huhtikuun 2026 lopun tietojen mukaan
Vaarantuneiden repositorioiden määrä lähes kolminkertaistui viidessä viikossa ensimmäisen paljastuksen jälkeen
Yli 1 700 haitallista npm-pakettia on julkaistu osana laajempaa Contagious Interview -operaatiota
Kohdennetut ekosysteemit
Kampanja on levinnyt kauas npm:stä, joka oli sen alkuperäinen vektori:
npm (Node.js): Ensisijainen kohde, satoja haitallisia paketteja kuten dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt ja debug-glit
PyPI (Python): Python-paketteja jaeltiin osana Contagious Interview -operaatiota
Go (Go Module Mirror): Socket Security tunnisti haitallisia Go-paketteja
Packagist (PHP/Composer): Laajentui tähän ekosysteemiin heinäkuuhun 2026 mennessä
GitHub Actions ja VS Code -laajennukset: Vaarannettu haitallisten .vscode/tasks.json-tiedostojen ja lisättyjen CI-putkien kautta
Kampanja vaaransi myös laajalti käytetyn Axios-npm-kirjaston (versiot 1.14.1 ja 0.30.0) huhtikuussa 2026 haitallisen plain-crypto-js-riippuvuuden kautta, mikä vaikutti noin 100 miljoonaan viikoittaiseen lataukseen .
Monivaiheinen tartuntatekniikka
PolinRiderin tartuntaketju on huolellisesti orkestroitu nelivaiheinen prosessi, joka on suunniteltu maksimoimaan salailu ja minimoimaan uhrin vuorovaikutuksen tarve.
Vaihe 1: Hämärytetty JavaScript- lataaja konfiguraatiotiedostoissa
Hyökkääjät lisäävät voimakkaasti hämärytettyä JavaScriptiä oikeiden kehittäjän konfiguraatiotiedostojen, kuten postcss.config.mjs, tailwind.config.js, eslint.config.mjs ja next.config.mjs, loppuun . Haitalliset rivit on täytetty ylimääräisillä välilyönneillä, mikä työntää koodin IDE:n oletusnäkymän leveyden ulkopuolelle ja tekee siitä näkymätöntä satunnaisessa koodiarvioinnissa .
Vaihe 2: Kehittyneet piilotustavat
PolinRider käyttää kolmea ensisijaista piilotustekniikkaa:
Vale .woff2-fonttitiedostot: Hämärytetty JavaScript naamioidaan verkkofonttitiedostoksi, binäärimuotoon, jota useimmat kehittäjät eivät koskaan tarkista
Välilyönti täyte: Suoritettavat rivit täytetään kauas näkyvän näkymän oikealle puolelle
Git-historian väärentäminen (ForceMemo): Moduuli, joka kirjoittaa Git-historiaa uudelleen ja ajoittaa haitalliset sitoumukset kuukausien päähän näyttämään rutiinihuollolta laillisilta ylläpitäjiltä
Vaihe 3: VS Code -tehtävän suoritus (TasksJacker)
Haitallisia .vscode/tasks.json-tiedostoja lisätään repositorioihin. Kun kehittäjä kloonaa vaarantuneen repositorion ja avaa sen VS Codessa, tehtävä suoritetaan automaattisesti ilman lisätoimia. Tämä ohittaa aiemmissa Contagious Interview -kampanjoissa käytetyn sosiaalisen manipuloinnin vaiheen kokonaan .
Vaihe 4: Lohkoketjupohjainen hyötykuorman nouto (C2)
Hämärytyksen purkamisen jälkeen JavaScript-lataaja noutaa seuraavan vaiheen hyötykuorman lukemalla salattua dataa, joka on upotettu kryptovaluutan lohkoketjutapahtumiin. Kampanja käyttää TRON-, Aptos- ja BSC (BNB Smart Chain) -lohkoketjuverkkoja kuollut-solmu-C2-kanavina . Tämä "etherhiding"-tekniikka tekee torjunnasta erittäin vaikeaa, koska C2-data on muuttumattomasti julkisissa lohkoketjuissa.
Toimitetut haittaohjelmat
PolinRider toimittaa joukon haitallisia hyötykuormia, joilla kullakin on omat kykynsä:
Ensisijainen toimitettu haittaohjelmaperhe on uusi variantti BeaverTailista, tunnetusta JavaScript-pohjaisesta haittaohjelmasta, joka liittyy Pohjois-Korean operaatioihin. Se toimii ensimmäisen vaiheen tippaajana ja tunnisteenkerääjänä .
DEV#POPPER.js (etäkäyttötroijalainen)
Tartuntaketju toimittaa JavaScript-pohjaisen RAT:n, jota seurataan nimellä DEV#POPPER.js. Se tarjoaa täydellisen etäkoodin suorituskyvyn (RCE), pysyvän pääsyn ja kyvyn suorittaa mielivaltaisia komentoja vaarantuneella kehittäjän työasemalla. eSentiren Threat Response Unit (TRU) havaitsi sen livenä kohdistamassa energia-, hyöty- ja jätealaa helmikuussa 2026 .
OmniStealer (tiedonvaras)
DEV#POPPERin rinnalla käyttöön otettu OmniStealer kohdistaa aggressiivisesti kryptovaluuttalompakkojen tunnistetietoja, yksityisiä avaimia, selaimessa tallennettuja tunnistetietoja, istuntotokeneita, API-avaimia ja CI/CD-salaisuuksia .
Muut hyötykuormat
PylangGhost: Python-pohjainen takaovi, joka on ensimmäinen kerta, kun tämä haittaohjelma on levinnyt npm-pakettien kautta
Socket.io-takaovi: Luo pysyvän käänteisen kuoren viestinnän hyökkääjän infrastruktuuriin
Yhteys Contagious Interviewiin
PolinRider on suora operatiivinen kehitysaskel Contagious Interview -kampanjasta. Siinä missä Contagious Interview luotti aiemmin väärennettyihin työhaastattelusyötteisiin ja sosiaaliseen manipulointiin saadakseen kehittäjät asentamaan troijalaistettuja projekteja, PolinRider edustaa siirtymää täysin automatisoituun, sosiaalista manipulointia vaatimattomaan toimitusketjun kompromissiin .
Keskeiset erot ja yhtäläisyydet:
Molemmat kampanjat käyttävät samaa BeaverTail-haittaohjelmaperhettä ja päällekkäistä C2-infrastruktuuria
PolinRider/TasksJacker poistaa sosiaalisen kerroksen kokonaan – kompromissi tapahtuu automaattisesti haitallisten pakettien ja VS Coden automaattisesti suoritettavien tehtävien kautta
Molemmat käyttävät lohkoketjupohjaista hyötykuorman noutoa
Suositellut puolustustoimenpiteet
OpenSourceMalwaren, Socket Securityn, Sonatypen ja muiden tutkijoiden ohjeiden perusteella organisaatioiden tulisi toteuttaa seuraavat toimenpiteet:
Välittömät toimet
Käsittele mitä tahansa vaarantunutta ympäristöä täysin kompromettoituna – oleta, että tunnistetiedot ja salaisuudet on varastettu, kunnes toisin todistetaan
Poista vaikutuksen alaiset paketitpackage.json-, go.mod- ja lukitustiedostoista
Tarkista kaikki kehittäjien työasemien lähtevä verkkoliikenne, erityisesti yhteydet lohkoketjusolmuihin ja tuntemattomiin IP-osoitteisiin
Keskeytä työskentely millä tahansa koodipohjalla, jossa vaikutuksen alaista pakettia on ajettu – palaa sitoumuksiin, jotka on tehty ennen tunnetun kompromissin ajankohtaa
Säilytä oikeuslääketieteellinen todistusaineisto (lokit, levykuvat) ennen korjausta
Koodin ja repositorion puhdistus
Skannaa kaikki postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs ja vastaavat tiedostot lisätyn hämärytetyn JavaScriptin varalta
Tarkista .vscode/-hakemistot odottamattomien tasks.json-tiedostojen varalta, joissa on automaattinen suorituskonfiguraatio
Tarkista .woff2- ja muut binääritiedostot upotetun JavaScriptin varalta
Poista VS Coden automaattiset tehtävät käytöstä kehitysympäristöissä, joissa niitä ei nimenomaisesti tarvita
Ota käyttöön staattisen analyysin säännöt – Datadog tarjoaa omistetun PolinRider-tunnistussäännön JavaScript/Node.js-koodin turvallisuusskannaukseen
Valvo lohkoketjupohjaisia C2-indikaattoreita – epätavalliset DNS-haut lohkoketju-API:hin tai epätyypilliset lähtevät yhteydet kehittäjien koneilla
Rakenna uudelleen tunnetuista hyvistä lukitustiedostoista ja kierrätä kaikki salaisuudet, API-avaimet ja kryptografiset avaimet, jotka ovat saattaneet paljastua millä tahansa vaikutuksen alaisella työasemalla
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
What is the short answer to "PolinRider: Pohjois-Korean toimitusketjuhyökkäys vaaransi 1 951 GitHub-repositoriota"?
PolinRider on Pohjois Korean (Lazarus/Contagious Interview klusteri) toimitusketjukampanja, joka huhtikuun 2026 loppuun mennessä oli vaarantanut 1 951 GitHub repositoriota 1 047 eri omistajalta – määrä lähes kolminker...
What are the key points to validate first?
PolinRider on Pohjois Korean (Lazarus/Contagious Interview klusteri) toimitusketjukampanja, joka huhtikuun 2026 loppuun mennessä oli vaarantanut 1 951 GitHub repositoriota 1 047 eri omistajalta – määrä lähes kolminker... Kampanja on levittänyt yli 1 700 haitallista npm pakettia, ja se on laajentunut PyPI:hin, Go:hun, Packagistiin (PHP) ja crates.io:hun (Rust).
What should I do next in practice?
Haittaohjelmat sisältävät BeaverTailin (JavaScript pohjainen tippaaja/tiedonvaras), DEV POPPER.js:n (etäkäyttötroijalainen) ja OmniStealerin (kryptolompakkojen ja tunnusten varastaja), ja se edustaa vaarallista automa...
