PolinRider: l’attacco alla supply chain della Corea del Nord che ha compromesso 1.951 repository GitHub
PolinRider è una campagna nordcoreana (Lazarus/Contagious Interview) che, a fine aprile 2026, aveva compromesso 1.951 repository GitHub di 1.047 proprietari unici, con una crescita quasi triplicata in cinque settimane. Oltre 1.700 pacchetti npm dannosi sono stati pubblicati, con la campagna estesa a PyPI, Go, Packag...
Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com
La campagna PolinRider rappresenta uno degli attacchi più aggressivi e tecnicamente sofisticati alla supply chain dell'open source mai attribuiti alla Corea del Nord. Segnalata per la prima volta da OpenSourceMalware nel marzo 2026, si è rapidamente espansa attraverso molteplici ecosistemi di pacchetti e toolchain per sviluppatori, compromettendo quasi 2.000 repository GitHub e sfruttando la tecnologia blockchain per rendere resistente la sua infrastruttura di comando e controllo (C2) .
Attribuzione e identità della campagna
PolinRider è attribuito alla Repubblica Popolare Democratica di Corea (DPRK) e allineato al gruppo Lazarus. Opera come sottocampagna all'interno del più ampio cluster Contagious Interview (noto anche come Famous Chollima) . La campagna si è fusa operativamente con la correlata TasksJacker, che si concentra sull'abuso dell'automazione dei task di VS Code .
Dimensioni e portata
La portata di PolinRider è enorme e in rapida crescita:
1.951 repository GitHub compromessi appartenenti a 1.047 proprietari unici a fine aprile 2026
Il numero di repository colpiti è quasi triplicato nelle cinque settimane successive alla divulgazione iniziale
Sono stati pubblicati più di 1.700 pacchetti npm dannosi come parte della più ampia operazione Contagious Interview
Ecosistemi presi di mira
La campagna si è diffusa ben oltre npm, il suo vettore iniziale:
npm (Node.js): Il bersaglio principale, con centinaia di pacchetti malevoli tra cui dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt e debug-glit
PyPI (Python): Pacchetti Python distribuiti come parte dell'operazione Contagious Interview
Go (Go Module Mirror): Pacchetti Go dannosi identificati da Socket Security
Packagist (PHP/Composer): Espansione in questo ecosistema entro luglio 2026
Rust (crates.io): Preso di mira nella campagna più ampia
GitHub Actions e estensioni VS Code: Compromessi tramite file .vscode/tasks.json dannosi e pipeline CI injettate
La campagna ha anche compromesso la diffusa libreria npm Axios (versioni 1.14.1 e 0.30.0) nell'aprile 2026 tramite una dipendenza dannosa denominata plain-crypto-js, colpendo circa 100 milioni di download settimanali .
La tecnica di infezione a più stadi
La catena di infezione di PolinRider è un processo a quattro stadi attentamente orchestrato, progettato per massimizzare la furtività e ridurre al minimo la necessità di interazione della vittima.
Stadio 1: Loader JavaScript offuscati nei file di configurazione
Gli aggressori aggiungono JavaScript pesantemente offuscato alla fine di file di configurazione legittimi per sviluppatori come postcss.config.mjs, tailwind.config.js, eslint.config.mjs e next.config.mjs. Le righe maligne sono imbottite con spazi bianchi in eccesso, spingendo il codice oltre la larghezza di visualizzazione predefinita dell'IDE e rendendolo invisibile durante una revisione casuale del codice .
Stadio 2: Metodi di occultamento sofisticati
PolinRider impiega tre tecniche di occultamento principali:
Falsi file font .woff2: Il JavaScript offuscato è camuffato da file di font web, un formato binario che la maggior parte degli sviluppatori non controlla mai
Imbottitura con spazi bianchi: Le righe eseguibili sono spinte molto a destra rispetto al viewport visibile
Falsificazione della cronologia Git (ForceMemo): Un modulo che riscrive la cronologia Git, retrodatando i commit malevoli di mesi per farli apparire come manutenzione di routine da parte di manutentori legittimi
Stadio 3: Esecuzione di task VS Code (TasksJacker)
File .vscode/tasks.json dannosi vengono iniettati nei repository. Quando uno sviluppatore clona un repository compromesso e lo apre in VS Code, il task viene eseguito automaticamente senza alcuna ulteriore interazione da parte dell'utente. Ciò bypassa completamente la fase di ingegneria sociale utilizzata nelle precedenti campagne Contagious Interview .
Stadio 4: Recupero del payload tramite blockchain (C2)
Il loader JavaScript deoffuscato recupera il payload dello stadio successivo leggendo dati crittografati incorporati nelle transazioni delle criptovalute. La campagna utilizza le reti blockchain TRON, Aptos e BSC (BNB Smart Chain) come canali C2 a deposito morto . Questa tecnica di "etherhiding" rende lo smantellamento estremamente difficile, poiché i dati C2 esistono in modo immutabile su blockchain pubbliche.
Payload malware consegnati
PolinRider distribuisce una suite di payload malevoli, ciascuno con capacità specifiche:
BeaverTail (Dropper/Infostealer basato su JavaScript)
La famiglia di malware principale consegnata è una nuova variante di BeaverTail, un noto malware JavaScript associato alle operazioni della DPRK. Funge da dropper di primo stadio e da ruba-credenziali .
DEV#POPPER.js (Trojan ad Accesso Remoto)
La catena di infezione consegna un RAT basato su JavaScript tracciato come DEV#POPPER.js. Fornisce piena capacità di esecuzione remota del codice (RCE), accesso persistente e la capacità di eseguire comandi arbitrari sulla workstation dello sviluppatore compromessa. L'unità di risposta alle minacce (TRU) di eSentire lo ha rilevato in natura a febbraio 2026, prendendo di mira il settore dell'Energia, dei Servizi Pubblici e dei Rifiuti .
OmniStealer (Rubainformazioni)
Distribuito insieme a DEV#POPPER, OmniStealer prende di mira in modo aggressivo le credenziali dei portafogli di criptovalute, le chiavi private, le credenziali memorizzate nel browser, i token di sessione, le chiavi API e i segreti CI/CD .
Altri Payload
PylangGhost: Un backdoor basato su Python, che segna la prima volta che questo malware è stato propagato tramite pacchetti npm
Backdoor Socket.io: Stabilisce una comunicazione persistente di reverse-shell con l'infrastruttura dell'attaccante
Collegamento con Contagious Interview
PolinRider è un'evoluzione operativa diretta della campagna Contagious Interview. Mentre Contagious Interview si basava storicamente su finte offerte di lavoro e ingegneria sociale per indurre gli sviluppatori a installare progetti troianizzati, PolinRider rappresenta un passaggio verso una compromissione completamente automatizzata e senza ingegneria sociale della supply chain .
Differenze e sovrapposizioni chiave:
Entrambe le campagne condividono la stessa famiglia di malware BeaverTail e infrastrutture C2 sovrapposte
PolinRider/TasksJacker elimina completamente il livello sociale: la compromissione avviene automaticamente tramite pacchetti malevoli e task di auto-esecuzione di VS Code
Entrambe utilizzano il recupero del payload basato su blockchain
Risposta difensiva raccomandata
Sulla base delle indicazioni di OpenSourceMalware, Socket Security, Sonatype e altri ricercatori, le organizzazioni dovrebbero adottare le seguenti misure:
Azioni immediate
Considerare qualsiasi ambiente compromesso come completamente violato — presumere il furto di credenziali e segreti fino a prova contraria
Rimuovere i pacchetti interessati da package.json, go.mod e dai lockfile
Esaminare tutta l'attività di rete in uscita dalle workstation degli sviluppatori, in particolare le connessioni a nodi blockchain e IP sconosciuti
Sospendere il lavoro su qualsiasi codice che abbia eseguito un pacchetto interessato — ripristinare i commit precedenti alla finestra di compromissione nota
Preservare le prove forensi (log, immagini disco) prima della bonifica
Pulizia del codice e dei repository
Scansionare tutti i file postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs e simili per JavaScript offuscato aggiunto
Ispezionare le directory .vscode/ per tasks.json inaspettati con configurazioni di auto-esecuzione
Esaminare i file .woff2 e altri asset binari per JavaScript incorporato
Controllare la cronologia Git per commit retrodatati da autori sconosciuti — non fidarsi della sola cronologia dei commit visibile
Indurimento a lungo termine
Implementare il filtraggio del traffico in uscita sulle reti degli sviluppatori per limitare le connessioni in uscita
Utilizzare la verifica dell'integrità dei pacchetti (lockfile, validazione dei checksum,
npm audit
, scansione socket.dev) prima dell'installazione
Disabilitare i task di auto-esecuzione di VS Code negli ambienti di sviluppo dove non siano esplicitamente necessari
Distribuire regole di analisi statica — Datadog offre una regola di rilevamento PolinRider dedicata per la scansione della sicurezza del codice JavaScript/Node.js
Monitorare gli indicatori C2 basati su blockchain — ricerche DNS insolite verso API blockchain o connessioni in uscita non standard sulle macchine degli sviluppatori
Ricostruire da lockfile noti e ruotare nuovamente tutti i segreti, le chiavi API e le chiavi crittografiche che potrebbero essere state esposte su qualsiasi workstation compromessa
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
What is the short answer to "PolinRider: l’attacco alla supply chain della Corea del Nord che ha compromesso 1.951 repository GitHub"?
PolinRider è una campagna nordcoreana (Lazarus/Contagious Interview) che, a fine aprile 2026, aveva compromesso 1.951 repository GitHub di 1.047 proprietari unici, con una crescita quasi triplicata in cinque settimane.
What are the key points to validate first?
PolinRider è una campagna nordcoreana (Lazarus/Contagious Interview) che, a fine aprile 2026, aveva compromesso 1.951 repository GitHub di 1.047 proprietari unici, con una crescita quasi triplicata in cinque settimane. Oltre 1.700 pacchetti npm dannosi sono stati pubblicati, con la campagna estesa a PyPI, Go, Packagist (PHP) e crates.io (Rust).
What should I do next in practice?
Il vettore d'infezione sfrutta file di configurazione contraffatti, esecuzione automatica in VS Code e payload recuperati tramite blockchain (TRON, Aptos, BSC).
