PolinRider: מסע הסייבר הצפון קוריאני שכבש 1,951 מאגרי GitHub

מערכות אקולוגיות שהותקפו

הקמפיין התפשט הרבה מעבר ל-npm, שהיה הגורם הראשוני:

• npm (Node.js): היעד העיקרי, עם מאות חבילות זדוניות כגון dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt ו-debug-glit
• PyPI (Python): חבילות Python הופצו כחלק ממבצע Contagious Interview
• Go (Go Module Mirror): חבילות Go זדוניות זוהו על ידי Socket Security
• Packagist (PHP/Composer): התרחבות למערכת אקולוגית זו התרחשה עד יולי 2026
• Rust (crates.io): יעד בקמפיין הרחב יותר
• GitHub Actions ו-VS Code extensions: נפרץ באמצעות קבצי .vscode/tasks.json זדוניים וצינורות CI/CD שהוחדרו

הקמפיין גם פגע בספריית Axios הפופולרית של npm (גרסאות 1.14.1 ו-0.30.0) באפריל 2026, באמצעות תלות זדונית בשם plain-crypto-js, והשפיע על כ-100 מיליון הורדות שבועיות .

טכניקת ההדבקה בת ארבעת השלבים

שרשרת ההדבקה של PolinRider היא תהליך מתוזמר בקפידה בן ארבעה שלבים, שנועד למקסם חמקנות ולמזער את הצורך באינטראקציה עם המשתמש.

שלב 1: מטעני JavaScript מוסתרים בקבצי תצורה

התוקפים מצרפים קוד JavaScript מוסתר (obfuscated) לסופם של קבצי תצורת מפתחים לגיטימיים כגון postcss.config.mjs, tailwind.config.js, eslint.config.mjs ו-next.config.mjs . השורות הזדוניות מרופדות ברווחים לבנים עודפים, מה שדוחק את הקוד אל מעבר לרוחב הצפייה המוגדר כברירת מחדל של הסביבה, והופך אותו לבלתי נראה במהלך סקירת קוד מזדמנת .

שלב 2: שיטות הסוואה מתוחכמות

PolinRider משתמשת בשלוש טכניקות הסוואה עיקריות:

• קבצי גופן מזויפים .woff2: קוד ה-JavaScript המוסתר מוסווה כקובץ גופן אינטרנטי, פורמט בינארי שרוב המפתחים לעולם לא בוחנים
• ריפוד ברווחים לבנים: שורות הניתנות להרצה מרופדות הרחק ימינה מחלון הצפייה
• זיוף היסטוריית Git (ForceMemo): מודול שכותב מחדש את היסטוריית Git, ומתארך קומיטים זדוניים אחורה בחודשים, כדי שייראו כתחזוקה שוטפת ממפתחים לגיטימיים

שלב 3: ביצוע משימות VS Code (TasksJacker)

קבצי .vscode/tasks.json זדוניים מוזרקים למאגרים. כאשר מפתח משכפל מאגר שנפרץ ופותח אותו ב-VS Code, המשימה מבוצעת באופן אוטומטי ללא כל אינטראקציה נוספת מצד המשתמש. זה עוקף לחלוטין את שלב ההנדסה החברתית ששימש בקמפיינים קודמים של Contagious Interview .

שלב 4: שליפת מטענים מבוססת בלוקצ'יין (C2)

מטען ה-JavaScript המפוענח (deobfuscated) שולף את המטען הבא שלו על ידי קריאת נתונים מוצפנים המוטמעים בעסקאות בלוקצ'יין. הקמפיין משתמש ברשתות TRON, Aptos ו-BSC (BNB Smart Chain) כערוצי C2 . טכניקת "הסתרה אתרית" (etherhiding) זו הופכת השבתת המתקפה לקשה ביותר, מכיוון שנתוני ה-C2 קיימים באופן בלתי ניתן לשינוי על בלוקצ'יינס ציבורי.

נוזקות המועברות

PolinRider מספקת חבילה של נוזקות, שלכל אחת יכולות ספציפיות:

BeaverTail (Dropper/Infostealer מבוסס JavaScript)

משפחת הנוזקות העיקרית המועברת היא גרסה חדשה של BeaverTail, נוזקה ידועה מבוססת JavaScript המשויכת לפעולות DPRK. היא פועלת כ-Dropper שלב ראשון וכגונב פרטי כניסה .

DEV#POPPER.js (סוס טרויאני לגישה מרחוק)

שרשרת ההדבקה מספקת RAT מבוסס JavaScript הידוע בשם DEV#POPPER.js. הוא מספק יכולות הרצת קוד מרחוק מלאות (RCE), גישה מתמשכת, ויכולת להריץ פקודות שרירותיות על תחנת העבודה של המפתח שנפרצה. יחידת התגובה לאיומים (TRU) של eSentire זיהתה אותו בטבע בפברואר 2026, כשתקף את מגזר האנרגיה, השירותים והפסולת .

OmniStealer (גונב מידע)

פרוס לצד DEV#POPPER, OmniStealer תוקף באגרסיביות פרטי ארנקי קריפטו, מפתחות פרטיים, פרטי כניסה השמורים בדפדפן, אסימוני הפעלה, מפתחות API וסודות CI/CD .

נוזקות נוספות

• PylangGhost: דלת אחורית מבוססת Python, המסמנת את הפעם הראשונה שנוזקה זו הופצה דרך חבילות npm
• דלת אחורית של Socket.io: מבססת תקשורת מתמשכת של reverse-shell עם תשתית התוקף

קשר ל-Contagious Interview

PolinRider היא אבולוציה מבצעית ישירה של קמפיין Contagious Interview. בעוד ש-Contagious Interview התבסס היסטורית על פיתיונות ראיונות עבודה מזויפים והנדסה חברתית כדי לשכנע מפתחים להתקין פרויקטים נגועים, PolinRider מייצגת מעבר לפגיעה אוטומטית לחלוטין, ללא צורך בהנדסה חברתית .

ההבדלים והחפיפות העיקריים:

• שני הקמפיינים חולקים את אותה משפחת נוזקות BeaverTail ותשתית C2 חופפת
• PolinRider/TasksJacker מבטלת את השכבה החברתית לחלוטין — הפגיעה מתרחשת באופן אוטומטי דרך חבילות זדוניות ומשימות VS Code המופעלות אוטומטית
• שניהם משתמשים בשליפת מטענים מבוססת בלוקצ'יין

המלצות הגנה

בהתבסס על הנחיות מ-OpenSourceMalware, Socket Security, Sonatype וחוקרים נוספים, ארגונים צריכים לנקוט בצעדים הבאים:

צעדים מיידיים

1. התייחסו לכל סביבה שנפגעה כפרוצה לחלוטין — הניחו שגניבת פרטי כניסה וסודות התרחשה עד להוכחה אחרת
2. הסירו חבילות מושפעות מ-package.json, go.mod ומנעולי קבצים (lockfiles)
3. בדקו את כל פעילות הרשת היוצאת מתחנות העבודה של המפתחים, במיוחד חיבורים לצמתים בלוקצ'יין ולכתובות IP לא מוכרות
4. הפסיקו עבודה על כל קוד בסיס שהריץ חבילה מושפעת — חזרו לקומיטים מלפני חלון הפגיעה הידוע
5. שמרו ראיות פורנזיות (לוגים, תמונות דיסק) לפני תיקון

ניקוי קוד ומאגרים

6. סרקו את כל הקבצים postcss.config.mjs, tailwind.config.js, eslint.config.mjs ו-next.config.mjs וקבצים דומים לאיתור קוד JavaScript מוסתר שצורף
7. בדקו תיקיות .vscode/ לאיתור tasks.json לא צפוי עם תצורות הרצה אוטומטית
8. בדקו קבצי .woff2 ונכסים בינאריים אחרים לאיתור JavaScript מוטמע
9. בקרו את היסטוריית Git לאיתור קומיטים עם תאריכים אחוריים ממחברים לא מוכרים — אל תסמכו על היסטוריית קומיטים גלויה בלבד

חיזוק לטווח ארוך

10. יישמו סינון תעבורה יוצאת (egress filtering) ברשתות המפתחים כדי להגביל חיבורים יוצאים
11. השתמשו באימות שלמות חבילות (lockfiles, אימות checksum,

    npm audit

    , סריקת socket.dev) לפני התקנה
12. בטלו משימות VS Code המופעלות אוטומטית בסביבות פיתוח שאינן זקוקות לכך במפורש
13. פרסו כללי ניתוח סטטי — Datadog מציע חוק זיהוי ייעודי ל-PolinRider לסריקת אבטחת קוד JavaScript/Node.js
14. נטררו אינדיקטורים ל-C2 מבוסס בלוקצ'יין — חיפושי DNS חריגים ל-API של בלוקצ'יין או חיבורים יוצאים לא סטנדרטיים במכונות מפתחים
15. בנו מחדש מ-lockfiles ידועים כבטוחים והחליפו את כל הסודות, מפתחות ה-API ומפתחות ההצפנה שאולי נחשפו בתחנת עבודה שנפגעה