PolinRider: Serangan Rantai Pasok Korea Utara yang Membobol 1.951 Repositori GitHub

Skala dan Dampak

Skala PolinRider sangat luas dan terus berkembang dengan cepat:

• 1.951 repositori GitHub yang dibobol milik 1.047 pemilik unik per akhir April 2026
• Jumlah repositori yang terkena dampak hampir tiga kali lipat dalam lima minggu setelah pengungkapan awal
• Lebih dari 1.700 paket npm berbahaya telah dipublikasikan sebagai bagian dari operasi Contagious Interview yang lebih luas

Ekosistem yang Ditargetkan

Kampanye ini telah menyebar jauh melampaui npm, vektor awalnya:

• npm (Node.js): Target utama, dengan ratusan paket berbahaya termasuk dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt, dan debug-glit
• PyPI (Python): Paket Python didistribusikan sebagai bagian dari operasi Contagious Interview
• Go (Go Module Mirror): Paket Go berbahaya diidentifikasi oleh Socket Security
• Packagist (PHP/Composer): Meluas ke ekosistem ini pada Juli 2026
• Rust (crates.io): Ditargetkan dalam kampanye yang lebih luas
• GitHub Actions dan Ekstensi VS Code: Dibobol melalui file .vscode/tasks.json berbahaya dan pipeline CI yang disusupi

Kampanye ini juga membobol pustaka Axios npm yang banyak digunakan (versi 1.14.1 dan 0.30.0) pada April 2026 melalui dependensi berbahaya bernama plain-crypto-js, yang memengaruhi sekitar 100 juta unduhan mingguan .

Teknik Infeksi Multi-Tahap

Rantai infeksi PolinRider adalah proses empat tahap yang dirancang dengan cermat untuk memaksimalkan siluman dan meminimalkan kebutuhan interaksi korban.

Tahap 1: Loader JavaScript Dikaburkan dalam File Konfigurasi

Penyerang menambahkan JavaScript yang sangat dikaburkan ke akhir file konfigurasi pengembang yang sah seperti postcss.config.mjs, tailwind.config.js, eslint.config.mjs, dan next.config.mjs . Baris berbahaya tersebut diberi spasi putih berlebih, mendorong kode melampaui lebar tampilan IDE default dan membuatnya tidak terlihat selama peninjauan kode biasa .

Tahap 2: Teknik Penyembunyian yang Canggih

PolinRider menggunakan tiga teknik penyembunyian utama:

• File font .woff2 palsu: JavaScript yang dikaburkan disamarkan sebagai file font web, format biner yang jarang diperiksa oleh sebagian besar pengembang
• Bantalan spasi putih: Baris yang dapat dieksekusi diberi bantalan jauh ke kanan area pandang yang terlihat
• Pemalsuan riwayat Git (ForceMemo): Modul yang menulis ulang riwayat Git, memundurkan tanggal komit berbahaya hingga berbulan-bulan agar tampak sebagai pemeliharaan rutin dari pengelola yang sah

Tahap 3: Eksekusi Tugas VS Code (TasksJacker)

File .vscode/tasks.json berbahaya disuntikkan ke dalam repositori. Ketika seorang pengembang mengkloning repositori yang dibobol dan membukanya di VS Code, tugas tersebut dieksekusi secara otomatis tanpa interaksi pengguna lebih lanjut. Ini melewati langkah rekayasa sosial yang digunakan dalam kampanye Contagious Interview sebelumnya .

Tahap 4: Pengambilan Muatan Berbasis Blockchain (C2)

Loader JavaScript yang telah dideobfuskasi mengambil muatan tahap berikutnya dengan membaca data terenkripsi yang tertanam dalam transaksi blockchain mata uang kripto. Kampanye ini menggunakan jaringan blockchain TRON, Aptos, dan BSC (BNB Smart Chain) sebagai saluran C2 drop-mati . Teknik "etherhiding" ini membuat penonaktifan menjadi sangat sulit karena data C2 ada secara imutabel di blockchain publik.

Muatan Malware yang Dikirimkan

PolinRider mengirimkan serangkaian muatan berbahaya, masing-masing dengan kemampuan spesifik:

BeaverTail (Dropper/Pencuri Informasi Berbasis JavaScript)

Keluarga malware utama yang dikirimkan adalah varian baru dari BeaverTail, malware berbasis JavaScript yang dikenal terkait dengan operasi DPRK. Ini bertindak sebagai dropper tahap pertama dan pemanen kredensial .

DEV#POPPER.js (Trojan Akses Jarak Jauh)

Rantai infeksi mengirimkan RAT berbasis JavaScript yang dilacak sebagai DEV#POPPER.js. Ini memberikan kemampuan Eksekusi Kode Jarak Jauh (RCE) penuh, akses persisten, dan kemampuan untuk mengeksekusi perintah arbitrer di workstation pengembang yang dibobol. Unit Tanggap Ancaman (TRU) eSentire mendeteksinya di alam liar yang menargetkan sektor Energi, Utilitas, dan Limbah pada Februari 2026 .

OmniStealer (Pencuri Informasi)

Dikerahkan bersama DEV#POPPER, OmniStealer secara agresif menargetkan kredensial dompet mata uang kripto, kunci pribadi, kredensial yang tersimpan di browser, token sesi, kunci API, dan rahasia CI/CD .

Muatan Lainnya

• PylangGhost: Backdoor berbasis Python, menandai pertama kalinya malware ini disebarkan melalui paket npm
• Backdoor Socket.io: Menjalin komunikasi reverse-shell persisten dengan infrastruktur penyerang

Koneksi ke Contagious Interview

PolinRider adalah evolusi operasional langsung dari kampanye Contagious Interview. Sementara Contagious Interview secara historis bergantung pada umpan wawancara kerja palsu dan rekayasa sosial untuk mengelabui pengembang agar menginstal proyek yang telah ditrojanisasi, PolinRider mewakili pergeseran menuju kompromi rantai pasok yang sepenuhnya otomatis dan bebas rekayasa sosial .

Perbedaan dan tumpang tindih utama meliputi:

• Kedua kampanye berbagi keluarga malware BeaverTail yang sama dan infrastruktur C2 yang tumpang tindih
• PolinRider/TasksJacker menghilangkan lapisan sosial sepenuhnya — kompromi terjadi secara otomatis melalui paket berbahaya dan tugas VS Code yang berjalan otomatis
• Keduanya menggunakan pengambilan muatan berbasis blockchain

Respons Defensif yang Direkomendasikan

Berdasarkan panduan dari OpenSourceMalware, Socket Security, Sonatype, dan peneliti lainnya, organisasi harus mengambil langkah-langkah berikut:

Tindakan Segera

1. Anggap lingkungan yang terpengaruh telah sepenuhnya dibobol — asumsikan pencurian kredensial dan rahasia terjadi sampai terbukti sebaliknya
2. Hapus paket yang terpengaruh dari package.json, go.mod, dan file lock
3. Tinjau semua aktivitas jaringan keluar dari workstation pengembang, terutama koneksi ke node blockchain dan IP yang tidak dikenal
4. Hentikan pekerjaan pada basis kode apa pun yang menjalankan paket yang terpengaruh — kembalikan ke komit dari sebelum jendela kompromi yang diketahui
5. Amankan bukti forensik (log, image disk) sebelum perbaikan

Pembersihan Kode dan Repositori

6. Pindai semua file postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs dan file serupa untuk JavaScript yang dikaburkan yang ditambahkan
7. Periksa direktori .vscode/ untuk tasks.json yang tidak terduga dengan konfigurasi auto-run
8. Tinjau file .woff2 dan aset biner lainnya untuk JavaScript yang tertanam
9. Audit riwayat Git untuk komit yang dimundurkan tanggalnya dari penulis yang tidak dikenal — jangan percaya riwayat komit yang terlihat saja

Penguatan Jangka Panjang

10. Terapkan penyaringan lalu lintas keluar (egress filtering) pada jaringan pengembang untuk membatasi koneksi keluar
11. Gunakan verifikasi integritas paket (file lock, validasi checksum,

    npm audit

    , pemindaian socket.dev) sebelum instalasi
12. Nonaktifkan tugas auto-run VS Code di lingkungan pengembangan yang tidak memerlukannya secara eksplisit
13. Terapkan aturan analisis statis — Datadog menawarkan aturan deteksi PolinRider khusus untuk pemindaian keamanan kode JavaScript/Node.js
14. Pantau indikator C2 berbasis blockchain — pencarian DNS yang tidak biasa ke API blockchain atau koneksi keluar non-standar di mesin pengembang
15. Bangun ulang dari file lock yang diketahui baik dan putar ulang semua rahasia, kunci API, dan kunci kriptografi yang mungkin telah terekspos di workstation yang terpengaruh