PolinRiderキャンペーン：北朝鮮Lazarusグループによる大規模オープンソースサプライチェーン攻撃の全貌

PolinRiderキャンペーンは、北朝鮮に帰属するものとしてこれまでに確認された中でも、最も攻撃的かつ技術的に洗練されたオープンソースサプライチェーン攻撃の一つです。2026年3月にOpenSourceMalwareによって初めて警告されて以来、複数のパッケージエコシステムと開発者ツールチェーンに急速に拡大し、約2,000件のGitHubリポジトリを侵害し、指揮統制（C2）通信の復元力のためにブロックチェーン技術を活用しています ^MO。

帰属とキャンペーンの正体

PolinRiderは朝鮮民主主義人民共和国（DPRK）に帰属し、Lazarusグループと関連付けられています。これはより広範な Contagious Interview クラスター（Famous Chollimaとしても追跡）内のサブキャンペーンとして動作します ^MT。このキャンペーンは、VS Codeのタスク自動化を悪用する TasksJacker キャンペーンと運用面で統合されています ^OG。

規模と影響範囲

PolinRiderの規模は広大で、急速に成長しています：

• 侵害されたGitHubリポジトリ：1,951件、1,047人のユニークな所有者（2026年4月下旬時点）^IS
• 影響を受けたリポジトリの数は、最初の報告から5週間で約3倍に増加 ^OS
• より広範なContagious Interview作戦の一環として、1,700以上の悪意あるnpmパッケージが公開 ^TD

標的とされたエコシステム

このキャンペーンは初期の浸入口であるnpmをはるかに超えて広がっています：

• npm（Node.js）： 主要な標的。数百の悪意あるパッケージ（dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt、debug-glit など）^T
• PyPI（Python）： Contagious Interview作戦の一環として配布されたPythonパッケージ ^D
• Go（Go Module Mirror）： Socket Securityによって悪意あるGoパッケージが特定 ^DT
• Packagist（PHP/Composer）： 2026年7月までにこのエコシステムにも拡大 ^D
• Rust（crates.io）： より広範なキャンペーンで標的に ^T
• GitHub ActionsとVS Code拡張機能： 悪意ある .vscode/tasks.json ファイルと注入されたCIパイプラインを介して侵害 ^DI

このキャンペーンは、2026年4月には広く使われている Axios npmライブラリ（バージョン1.14.1および0.30.0）も侵害し、plain-crypto-js という悪意ある依存関係を介して、週間約1億ダウンロードに影響を与えました ^DC。

多段階感染手法

PolinRiderの感染チェーンは、ステルス性を最大化し、被害者の操作を最小限にするよう綿密に調整された4段階のプロセスです。

第1段階：設定ファイル内の難読化されたJavaScriptローダー

攻撃者は、postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs などの正規の開発者設定ファイルの末尾に、高度に難読化されたJavaScriptを追加します ^FB。悪意のある行は過剰な空白でパディングされ、コードがデフォルトのIDE表示幅を超えて押し出され、通常のコードレビューでは見えなくなります ^DB。

第2段階：高度な隠蔽手法

PolinRiderは主に3つの隠蔽手法を採用しています：

• 偽の .woff2 フォントファイル： 難読化されたJavaScriptがWebフォントファイルに偽装されます。これはほとんどの開発者が検査しないバイナリ形式です ^TB
• 空白パディング： 実行可能な行が可視ビューポートの右端までパディングされます ^DB
• Git履歴の改ざん（ForceMemo）： Git履歴を書き換え、悪意のあるコミットを数ヶ月前にバックデートし、正規のメンテナーによる定期的なメンテナンスのように見せかけます ^OL

第3段階：VS Codeタスク実行（TasksJacker）

悪意ある .vscode/tasks.json ファイルがリポジトリに注入されます。開発者が侵害されたリポジトリをクローンしてVS Codeで開くと、タスクは自動的に、それ以上のユーザー操作なしで実行されます。これにより、以前のContagious Interviewキャンペーンで使用されていたソーシャルエンジニアリングのステップ全体が不要になります ^DIT。

第4段階：ブロックチェーンベースのペイロード取得（C2）

難読化が解除されたJavaScriptローダーは、暗号通貨のブロックチェーントランザクションに埋め込まれた暗号化データを読み取ることで、次のステージのペイロードを取得します。このキャンペーンは、TRON、Aptos、BSC（BNB Smart Chain） のブロックチェーンネットワークをデッドドロップC2チャネルとして使用します ^DIB。この「etherhiding」手法により、C2データは公開ブロックチェーン上に不変に存在するため、摘発が極めて困難になります。

配信されるマルウェアペイロード

PolinRiderは、それぞれ特定の機能を持つ一連の悪意あるペイロードを配信します：

BeaverTail（JavaScriptベースのドロッパー/情報窃取型マルウェア）

配信される主要なマルウェアファミリーは、北朝鮮の作戦に関連する既知のJavaScriptベースマルウェア BeaverTail の新種です。これは第1段階のドロッパーおよび認証情報収集ツールとして機能します ^TF。

DEV#POPPER.js（リモートアクセス型トロイの木馬）

感染チェーンは、DEV#POPPER.js として追跡されるJavaScriptベースのRATを配信します。これにより、完全なリモートコード実行（RCE）、永続的なアクセス、侵害された開発者ワークステーション上での任意のコマンド実行が可能になります。eSentireの脅威対応ユニット（TRU）は、2026年2月にエネルギー・公益事業・廃棄物セクターを標的とした実際の攻撃を検出しました ^IE。

OmniStealer（情報窃取型マルウェア）

DEV#POPPERと共に展開される OmniStealer は、暗号通貨ウォレットの認証情報、秘密鍵、ブラウザ保存の認証情報、セッショントークン、APIキー、CI/CDシークレットを積極的に標的にします ^IR。

その他のペイロード

• PylangGhost： Pythonベースのバックドア。このマルウェアがnpmパッケージを介して拡散されたのは初めてのことです ^T
• Socket.ioバックドア： 攻撃者のインフラとの持続的なリバースシェル通信を確立します ^T

Contagious Interviewとの関連性

PolinRiderは、Contagious Interview キャンペーンからの直接的な運用進化形です。Contagious Interviewが歴史的に偽の面接勧誘やソーシャルエンジニアリングに依存して開発者を騙し、トロイの木化されたプロジェクトをインストールさせていたのに対し、PolinRiderは完全に自動化され、ソーシャルエンジニアリングを必要としないサプライチェーン侵害への移行を表しています ^MTI。

主な違いと重複は以下の通りです：

• 両方のキャンペーンは同じBeaverTailマルウェアファミリーと重複するC2インフラを共有 ^IC
• PolinRider/TasksJackerはソーシャルレイヤーを完全に排除——侵害は悪意あるパッケージとVS Codeの自動実行タスクを介して自動的に発生
• 両方ともブロックチェーンベースのペイロード取得を使用 ^IC

推奨される防御対応

OpenSourceMalware、Socket Security、Sonatypeなどの研究者からのガイダンスに基づき、組織は以下の手順を踏むべきです：

即時対応

1. 影響を受けた環境は完全に侵害されたものとして扱う——証明されるまで認証情報とシークレットの窃取を想定 ^IS
2. 影響を受けたパッケージを package.json、go.mod、ロックファイルから削除 ^SG
3. 開発者ワークステーションからのすべての送信ネットワークアクティビティを確認。特にブロックチェーンノードと未知のIPアドレスへの接続 ^SG
4. 影響を受けたパッケージを実行したコードベースでの作業を一時停止——既知の侵害期間前のコミットにロールバック ^S
5. フォレンジック証拠（ログ、ディスクイメージ）を是正前に保存 ^I

コードとリポジトリのクリーンアップ

6. すべての postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs および類似ファイルをスキャンし、追加された難読化JavaScriptを確認 ^FB
7. .vscode/ ディレクトリを検査し、自動実行設定のある予期しない tasks.json がないか確認 ^DI
8. .woff2 およびその他のバイナリアセットファイルをレビューし、埋め込まれたJavaScriptがないか確認 ^TB
9. Git履歴を監査し、未知の作成者によるバックデートされたコミットがないか確認——表示されるコミット履歴だけを信頼しない ^O

長期的なセキュリティ強化

10. 開発者ネットワークに出力フィルタリングを実装し、送信接続を制限 ^G
11. パッケージの整合性検証を使用（ロックファイル、チェックサム検証、npm audit、socket.dev スキャン）をインストール前に実行 ^G
12. 明示的に必要でない開発環境ではVS Codeの自動実行タスクを無効化 ^DI
13. 静的解析ルールを導入——DatadogはJavaScript/Node.jsコードセキュリティスキャン向けの専用PolinRider検出ルールを提供 ^D
14. ブロックチェーンベースのC2指標を監視——ブロックチェーンAPIへの異常なDNSルックアップや開発者マシン上の非標準的な外部接続 ^I
15. 既知の正常なロックファイルから再構築し、露出した可能性のあるすべてのシークレット、APIキー、暗号鍵を再ローテーション ^IS