PolinRider : l'attaque nord-coréenne qui a compromis 1 951 dépôts GitHub

Portée et ampleur

L'ampleur de PolinRider est vaste et croît rapidement :

• 1 951 dépôts GitHub compromis appartenant à 1 047 propriétaires uniques à fin avril 2026
• Le nombre de dépôts affectés a environ triplé au cours des cinq semaines suivant la divulgation initiale
• Plus de 1 700 paquets npm malveillants ont été publiés dans le cadre de l'opération Contagious Interview

Écosystèmes ciblés

La campagne s'est propagée bien au-delà de npm, son vecteur initial :

• npm (Node.js) : La cible principale, avec des centaines de paquets malveillants, dont dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt et debug-glit
• PyPI (Python) : Paquets Python distribués dans le cadre de l'opération Contagious Interview
• Go (Go Module Mirror) : Paquets Go malveillants identifiés par Socket Security
• Packagist (PHP/Composer) : Extension à cet écosystème en juillet 2026
• Rust (crates.io) : Ciblé dans la campagne plus large
• GitHub Actions et extensions VS Code : Compromis via des fichiers .vscode/tasks.json malveillants et des pipelines CI injectés

La campagne a également compromis la bibliothèque npm Axios (versions 1.14.1 et 0.30.0) en avril 2026 via une dépendance malveillante nommée plain-crypto-js, affectant environ 100 millions de téléchargements par semaine .

La technique d'infection en plusieurs étapes

La chaîne d'infection de PolinRider est un processus minutieusement orchestré en quatre étapes, conçu pour maximiser la furtivité et minimiser l'interaction nécessaire de la victime.

Étape 1 : Chargeurs JavaScript obfusqués dans les fichiers de configuration

Les attaquants ajoutent du JavaScript lourdement obfusqué à la fin de fichiers de configuration légitimes de développeurs, tels que postcss.config.mjs, tailwind.config.js, eslint.config.mjs et next.config.mjs . Les lignes malveillantes sont rembourrées avec un excès d'espaces blancs, poussant le code au-delà de la largeur d'affichage par défaut de l'EDI, le rendant invisible lors d'une revue de code occasionnelle .

Étape 2 : Méthodes de dissimulation sophistiquées

PolinRider utilise trois techniques de dissimulation principales :

• Faux fichiers de police .woff2 : Le JavaScript obfusqué est déguisé en fichier de police web, un format binaire que la plupart des développeurs n'inspectent jamais
• Rembourrage d'espaces blancs : Les lignes exécutables sont poussées loin sur la droite du viewport visible
• Falsification de l'historique Git (ForceMemo) : Un module qui réécrit l'historique Git, antidatant les commits malveillants de plusieurs mois pour les faire passer pour une maintenance de routine de la part de mainteneurs légitimes

Étape 3 : Exécution de tâches VS Code (TasksJacker)

Des fichiers .vscode/tasks.json malveillants sont injectés dans les dépôts. Lorsqu'un développeur clone un dépôt compromis et l'ouvre dans VS Code, la tâche s'exécute automatiquement sans aucune autre interaction de l'utilisateur. Cela contourne complètement l'étape d'ingénierie sociale utilisée dans les campagnes Contagious Interview précédentes .

Étape 4 : Récupération de la charge utile via la blockchain (C2)

Le chargeur JavaScript désobfusqué récupère sa charge utile de deuxième étape en lisant des données cryptées intégrées dans les transactions de la blockchain de cryptomonnaies. La campagne utilise les blockchains TRON, Aptos et BSC (BNB Smart Chain) comme canaux C2 de type "dead-drop" . Cette technique d'"etherhiding" rend le démantèlement extrêmement difficile car les données C2 existent de manière immuable sur les blockchains publiques.

Charges utiles des logiciels malveillants livrés

PolinRider livre une suite de charges utiles malveillantes, chacune avec des capacités spécifiques :

BeaverTail (Droger/Voleur d'informations basé sur JavaScript)

La principale famille de logiciels malveillants livrés est une nouvelle variante de BeaverTail, un malwareJavaScript connu associé aux opérations de la RPDC. Il agit comme un droger de première étape et un récupérateur d'identifiants .

DEV#POPPER.js (Cheval de Troie d'accès à distance)

La chaîne d'infection livre un RAT basé sur JavaScript connu sous le nom de DEV#POPPER.js. Il fournit une capacité complète d'exécution de code à distance (RCE), un accès persistant et la capacité d'exécuter des commandes arbitraires sur le poste de travail du développeur compromis. L'unité de réponse aux menaces (TRU) d'eSentire l'a détecté dans la nature ciblant le secteur de l'énergie, des services publics et des déchets en février 2026 .

OmniStealer (Voleur d'informations)

Déployé aux côtés de DEV#POPPER, OmniStealer cible agressivement les identifiants de portefeuille de cryptomonnaies, les clés privées, les identifiants stockés dans le navigateur, les jetons de session, les clés API et les secrets CI/CD .

Autres charges utiles

• PylangGhost : Une porte dérobée basée sur Python, marquant la première fois que ce malware a été propagé via des paquets npm
• Porte dérobée Socket.io : Établit une communication de shell inversé persistante avec l'infrastructure de l'attaquant

Lien avec Contagious Interview

PolinRider est une évolution opérationnelle directe de la campagne Contagious Interview. Alors que Contagious Interview s'appuyait historiquement sur des offres d'emploi factices et l'ingénierie sociale pour inciter les développeurs à installer des projets piégés, PolinRider représente un changement vers une compromission de la chaîne d'approvisionnement entièrement automatisée et sans ingénierie sociale .

Les principales différences et chevauchements incluent :

• Les deux campagnes partagent la même famille de malwares BeaverTail et des infrastructures C2 qui se chevauchent
• PolinRider/TasksJacker supprime entièrement la couche sociale — la compromission se produit automatiquement via des paquets malveillants et des tâches d'exécution automatique de VS Code
• Les deux utilisent la récupération de charge utile basée sur la blockchain

Réponse défensive recommandée

Sur la base des conseils d'OpenSourceMalware, de Socket Security, de Sonatype et d'autres chercheurs, les organisations devraient prendre les mesures suivantes :

Actions immédiates

1. Considérez tout environnement affecté comme entièrement compromis — supposez le vol d'identifiants et de secrets jusqu'à preuve du contraire
2. Supprimez les paquets affectés de package.json, go.mod et des fichiers de verrouillage
3. Examinez toute l'activité réseau sortante des postes de travail des développeurs, en particulier les connexions aux nœuds de blockchain et aux IP inconnues
4. Interrompez le travail sur toute base de code qui a exécuté un paquet affecté — revenez à des commits antérieurs à la fenêtre de compromission connue
5. Conservez les preuves médico-légales (journaux, images disque) avant la remédiation

Nettoyage du code et du dépôt

6. Scannez tous les fichiers postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs et fichiers similaires à la recherche de JavaScript obfusqué ajouté
7. Inspectez les répertoires .vscode/ pour détecter des tasks.json inattendus avec des configurations d'exécution automatique
8. Vérifiez les fichiers .woff2 et autres fichiers binaires à la recherche de JavaScript intégré
9. Auditez l'historique Git pour les commits antidatés provenant d'auteurs inconnus — ne vous fiez pas uniquement à l'historique des commits visible

Renforcement à long terme

10. Mettez en place un filtrage du trafic sortant sur les réseaux des développeurs pour restreindre les connexions sortantes
11. Utilisez la vérification de l'intégrité des paquets (fichiers de verrouillage, validation des sommes de contrôle,

    npm audit

    , analyse socket.dev) avant l'installation
12. Désactivez les tâches d'exécution automatique de VS Code dans les environnements de développement où elles ne sont pas explicitement nécessaires
13. Déployez des règles d'analyse statique — Datadog propose une règle de détection PolinRider dédiée pour l'analyse de sécurité du code JavaScript/Node.js
14. Surveillez les indicateurs C2 basés sur la blockchain — requêtes DNS inhabituelles vers des API de blockchain ou connexions sortantes non standard sur les machines des développeurs
15. Reconstruisez à partir de fichiers de verrouillage fiables et révoquez tous les secrets, clés API et clés cryptographiques qui ont pu être exposés sur tout poste de travail affecté