PolinRider: उत्तर कोरिया का सबसे बड़ा ओपन-सोर्स सप्लाई चेन हमला

PolinRider अभियान अब तक का उत्तर कोरिया से जुड़ा सबसे आक्रामक और तकनीकी रूप से परिष्कृत ओपन-सोर्स सप्लाई चेन हमला है। मार्च 2026 में OpenSourceMalware द्वारा पहली बार फ्लैग किए जाने के बाद, यह तेजी से कई पैकेज इकोसिस्टम और डेवलपर टूलचेन में फैल गया है, जिसने लगभग 2,000 GitHub रिपॉजिटरी से समझौता कर लिया है और ब्लॉकचेन तकनीक का उपयोग करके अपने C2 (कमांड-एंड-कंट्रोल) को मजबूत बनाया है ^MO.

हमले की पहचान और अभियान

PolinRider को डीपीआरके (उत्तर कोरिया) से जोड़ा जाता है और यह Lazarus ग्रुप से संबद्ध है। यह व्यापक Contagious Interview क्लस्टर (जिसे Famous Chollima के नाम से भी जाना जाता है) के तहत एक उप-अभियान के रूप में काम करता है ^MT। यह अभियान संबंधित TasksJacker अभियान के साथ ऑपरेशनल रूप से विलय हो गया है, जो VS Code टास्क ऑटोमेशन के दुरुपयोग पर केंद्रित है ^OG।

दायरा और पैमाना

PolinRider का दायरा विशाल और तेजी से बढ़ रहा है:

• 1,951 compromised GitHub रिपॉजिटरी, जो 1,047 यूनिक मालिकों की हैं (अप्रैल 2026 के अंत तक) ^IS
• प्रभावित रिपॉजिटरी की संख्या प्रारंभिक खुलासे के बाद पांच हफ्तों में लगभग तीन गुना हो गई ^OS
• व्यापक Contagious Interview ऑपरेशन के हिस्से के रूप में 1,700 से अधिक दुर्भावनापूर्ण npm पैकेज प्रकाशित किए गए हैं ^TD

लक्षित इकोसिस्टम

यह अभियान अपने शुरुआती वेक्टर npm से कहीं आगे फैल गया है:

• npm (Node.js): प्राथमिक लक्ष्य, जिसमें सैकड़ों दुर्भावनापूर्ण पैकेज शामिल हैं, जैसे dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt, और debug-glit ^T
• PyPI (Python): Contagious Interview ऑपरेशन के हिस्से के रूप में Python पैकेज वितरित किए गए ^D
• Go (Go Module Mirror): Socket Security द्वारा पहचाने गए दुर्भावनापूर्ण Go पैकेज ^DT
• Packagist (PHP/Composer): जुलाई 2026 तक इस इकोसिस्टम में विस्तार ^D
• Rust (crates.io): व्यापक अभियान में लक्षित ^T
• GitHub Actions और VS Code एक्सटेंशन: दुर्भावनापूर्ण .vscode/tasks.json फाइलों और इंजेक्टेड CI पाइपलाइनों के माध्यम से समझौता ^DI

इस अभियान ने अप्रैल 2026 में व्यापक रूप से उपयोग किए जाने वाले Axios npm लाइब्रेरी (संस्करण 1.14.1 और 0.30.0) से भी समझौता किया, जो plain-crypto-js नामक एक दुर्भावनापूर्ण डिपेंडेंसी के माध्यम से हुआ, जिसने लगभग 100 मिलियन साप्ताहिक डाउनलोड को प्रभावित किया ^DC।

मल्टी-स्टेज इन्फेक्शन तकनीक

PolinRider इन्फेक्शन चेन एक सावधानीपूर्वक ऑर्केस्ट्रेटेड, चार-चरणीय प्रक्रिया है जिसे अधिकतम चुपके और पीड़ित के न्यूनतम इंटरैक्शन के लिए डिज़ाइन किया गया है।

चरण 1: कॉन्फिग फाइलों में Obfuscated JavaScript Loaders

हमलावर वैध डेवलपर कॉन्फ़िगरेशन फ़ाइलों जैसे postcss.config.mjs, tailwind.config.js, eslint.config.mjs, और next.config.mjs के अंत में भारी रूप से अस्पष्ट JavaScript जोड़ते हैं ^FB। दुर्भावनापूर्ण लाइनों को अतिरिक्त सफेद स्थान के साथ पैड किया जाता है, जो कोड को डिफ़ॉल्ट IDE व्यूइंग चौड़ाई से परे धकेलता है, जिससे यह आकस्मिक कोड समीक्षा के दौरान अदृश्य हो जाता है ^DB।

चरण 2: परिष्कृत छिपाने के तरीके

PolinRider तीन प्राथमिक छिपाने की तकनीकों का उपयोग करता है:

• नकली .woff2 फ़ॉन्ट फ़ाइलें: अस्पष्ट JavaScript को वेब फ़ॉन्ट फ़ाइल के रूप में प्रच्छन्न किया जाता है, एक बाइनरी प्रारूप जिसे अधिकांश डेवलपर कभी निरीक्षण नहीं करते हैं ^TB
• व्हाइटस्पेस पैडिंग: एक्ज़ीक्यूटेबल लाइनों को दृश्य व्यूपोर्ट के दाईं ओर पैड किया जाता है ^DB
• Git हिस्ट्री फ़ाल्सिफिकेशन (ForceMemo): एक मॉड्यूल जो Git हिस्ट्री को फिर से लिखता है, दुर्भावनापूर्ण कमिट को महीनों पीछे कर देता है ताकि वे वैध मेंटेनर से नियमित रखरखाव के रूप में दिखाई दें ^OL

चरण 3: VS Code टास्क एग्जीक्यूशन (TasksJacker)

रिपॉजिटरी में दुर्भावनापूर्ण .vscode/tasks.json फ़ाइलें इंजेक्ट की जाती हैं। जब कोई डेवलपर एक compromise की गई रिपो को क्लोन करता है और इसे VS Code में खोलता है, तो कार्य स्वचालित रूप से बिना किसी और उपयोगकर्ता इंटरैक्शन के निष्पादित होता है। यह पहले के Contagious Interview अभियानों में उपयोग किए गए सोशल इंजीनियरिंग चरण को पूरी तरह से बायपास करता है ^DIT।

चरण 4: ब्लॉकचेन-आधारित पेलोड रिट्रीवल (C2)

डी-ऑबफस्केटेड JavaScript लोडर क्रिप्टोकरेंसी ब्लॉकचेन लेनदेन में एम्बेडेड एन्क्रिप्टेड डेटा को पढ़कर अपने अगले चरण का पेलोड प्राप्त करता है। यह अभियान TRON, Aptos, और BSC (BNB Smart Chain) ब्लॉकचेन नेटवर्क को डेड-ड्रॉप C2 चैनलों के रूप में उपयोग करता है ^DIB। यह "etherhiding" तकनीक टेकडाउन को बेहद मुश्किल बना देती है क्योंकि C2 डेटा सार्वजनिक ब्लॉकचेन पर अपरिवर्तनीय रूप से मौजूद रहता है।

डिलीवर किए गए मैलवेयर पेलोड

PolinRider दुर्भावनापूर्ण पेलोड का एक सूट डिलीवर करता है, जिनमें से प्रत्येक में विशिष्ट क्षमताएं हैं:

BeaverTail (JavaScript-आधारित ड्रॉपर/इन्फोस्टीलर)

प्राथमिक मैलवेयर परिवार BeaverTail का एक नया वेरिएंट है, जो DPRK ऑपरेशन से जुड़ा एक ज्ञात JavaScript-आधारित मैलवेयर है। यह फर्स्ट-स्टेज ड्रॉपर और क्रेडेंशियल हार्वेस्टर के रूप में कार्य करता है ^TF।

DEV#POPPER.js (रिमोट एक्सेस ट्रोजन)

इन्फेक्शन चेन DEV#POPPER.js नामक एक JavaScript-आधारित RAT डिलीवर करता है। यह पूर्ण रिमोट कोड एक्सेक्यूशन (RCE), लगातार एक्सेस, और समझौता किए गए डेवलपर वर्कस्टेशन पर मनमाने कमांड निष्पादित करने की क्षमता प्रदान करता है। eSentire के थ्रेट रिस्पांस यूनिट (TRU) ने फरवरी 2026 में इसे एनर्जी, यूटिलिटीज और वेस्ट सेक्टर को लक्ष्य करते हुए पकड़ा था ^IE।

OmniStealer (सूचना चुराने वाला)

DEV#POPPER के साथ तैनात, OmniStealer आक्रामक रूप से क्रिप्टोकरेंसी वॉलेट क्रेडेंशियल, प्राइवेट की, ब्राउज़र-स्टोर्ड क्रेडेंशियल, सत्र टोकन, API की, और CI/CD सीक्रेट्स को लक्ष्य करता है ^IR।

अन्य पेलोड

• PylangGhost: एक Python-आधारित बैकडोर, जो पहली बार है जब इस मैलवेयर को npm पैकेज के माध्यम से प्रचारित किया गया ^T
• Socket.io बैकडोर: हमलावर बुनियादी ढांचे के साथ लगातार रिवर्स-शेल संचार स्थापित करता है ^T

Contagious Interview से कनेक्शन

PolinRider Contagious Interview अभियान का प्रत्यक्ष परिचालन विकास है। जबकि Contagious Interview ऐतिहासिक रूप से डेवलपर्स को ट्रोजनाइज़्ड प्रोजेक्ट स्थापित करने के लिए धोखा देने के लिए नकली नौकरी साक्षात्कार लालच और सोशल इंजीनियरिंग पर निर्भर था, PolinRider पूरी तरह से स्वचालित, सोशल-इंजीनियरिंग-मुक्त सप्लाई चेन समझौते की ओर एक बदलाव का प्रतिनिधित्व करता है ^MTI।

मुख्य अंतर और ओवरलैप में शामिल हैं:

• दोनों अभियान एक ही BeaverTail मैलवेयर परिवार और ओवरलैपिंग C2 बुनियादी ढांचे को साझा करते हैं ^IC
• PolinRider/TasksJacker सामाजिक परत को पूरी तरह से समाप्त कर देता है — समझौता दुर्भावनापूर्ण पैकेज और VSCode ऑटो-रन टास्क के माध्यम से स्वचालित रूप से होता है
• दोनों ब्लॉकचेन-आधारित पेलोड रिट्रीवल का उपयोग करते हैं ^IC

अनुशंसित रक्षात्मक प्रतिक्रिया

OpenSourceMalware, Socket Security, Sonatype और अन्य शोधकर्ताओं के मार्गदर्शन के आधार पर, संगठनों को निम्नलिखित कदम उठाने चाहिए:

तत्काल कार्रवाई

1. किसी भी प्रभावित वातावरण को पूरी तरह से समझौता मानें — जब तक अन्यथा साबित न हो, क्रेडेंशियल और सीक्रेट चोरी को मानें ^IS
2. प्रभावित पैकेजों को package.json, go.mod, और लॉकफाइल्स से हटाएं ^SG
3. डेवलपर वर्कस्टेशन से सभी आउटबाउंड नेटवर्क गतिविधि की समीक्षा करें, विशेष रूप से ब्लॉकचेन नोड्स और अज्ञात आईपी से कनेक्शन ^SG
4. किसी भी कोडबेस पर काम रोकें जिसने प्रभावित पैकेज चलाया — ज्ञात समझौता विंडो से पहले के कमिट पर वापस जाएं ^S
5. फोरेंसिक सबूत संरक्षित करें (लॉग, डिस्क इमेज) उपचार से पहले ^I

कोड और रिपॉजिटरी सफाई

6. सभी postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs और समान फ़ाइलों को जोड़े गए अस्पष्ट JavaScript के लिए स्कैन करें ^FB
7. .vscode/ निर्देशिकाओं का निरीक्षण करें अप्रत्याशित tasks.json के लिए जिनमें ऑटो-रन कॉन्फ़िगरेशन हो ^DI
8. .woff2 और अन्य बाइनरी एसेट फ़ाइलों की समीक्षा करें एम्बेडेड JavaScript के लिए ^TB
9. अज्ञात लेखकों से बैकडेटेड कमिट के लिए Git हिस्ट्री का ऑडिट करें — अकेले दृश्य कमिट हिस्ट्री पर भरोसा न करें ^O

दीर्घकालिक सुरक्षा

10. डेवलपर नेटवर्क पर एग्रेस फ़िल्टरिंग लागू करें आउटबाउंड कनेक्शन को प्रतिबंधित करने के लिए ^G
11. पैकेज इंटीग्रिटी वेरिफिकेशन का उपयोग करें (लॉकफाइल्स, चेकसम वैलिडेशन, npm audit, socket.dev स्कैनिंग) इंस्टॉलेशन से पहले ^G
12. डेवलपमेंट वातावरण में VS Code ऑटो-रन टास्क अक्षम करें जहां स्पष्ट रूप से आवश्यक न हो ^DI
13. स्टैटिक एनालिसिस नियम तैनात करें — Datadog JavaScript/Node.js कोड सुरक्षा स्कैनिंग के लिए एक समर्पित PolinRider डिटेक्शन रूल प्रदान करता है ^D
14. ब्लॉकचेन-आधारित C2 संकेतकों की निगरानी करें — ब्लॉकचेन एपीआई या डेवलपर मशीनों पर गैर-मानक आउटबाउंड कनेक्शन के लिए असामान्य DNS लुकअप ^I
15. ज्ञात-अच्छे लॉकफाइल्स से पुनर्निर्माण करें और सभी सीक्रेट्स, एपीआई की, और क्रिप्टोग्राफ़िक की को फिर से घुमाएं जो किसी भी प्रभावित वर्कस्टेशन पर उजागर हो सकते हैं ^IS