PolinRiderキャンペーン：北朝鮮Lazarusグループによる大規模オープンソースサプライチェーン攻撃の全貌

標的とされたエコシステム

このキャンペーンは初期の浸入口であるnpmをはるかに超えて広がっています：

• npm（Node.js）： 主要な標的。数百の悪意あるパッケージ（dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt、debug-glit など）
• PyPI（Python）： Contagious Interview作戦の一環として配布されたPythonパッケージ
• Go（Go Module Mirror）： Socket Securityによって悪意あるGoパッケージが特定
• Packagist（PHP/Composer）： 2026年7月までにこのエコシステムにも拡大
• Rust（crates.io）： より広範なキャンペーンで標的に
• GitHub ActionsとVS Code拡張機能： 悪意ある .vscode/tasks.json ファイルと注入されたCIパイプラインを介して侵害

このキャンペーンは、2026年4月には広く使われている Axios npmライブラリ（バージョン1.14.1および0.30.0）も侵害し、plain-crypto-js という悪意ある依存関係を介して、週間約1億ダウンロードに影響を与えました 。

多段階感染手法

PolinRiderの感染チェーンは、ステルス性を最大化し、被害者の操作を最小限にするよう綿密に調整された4段階のプロセスです。

第1段階：設定ファイル内の難読化されたJavaScriptローダー

攻撃者は、postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs などの正規の開発者設定ファイルの末尾に、高度に難読化されたJavaScriptを追加します 。悪意のある行は過剰な空白でパディングされ、コードがデフォルトのIDE表示幅を超えて押し出され、通常のコードレビューでは見えなくなります 。

第2段階：高度な隠蔽手法

PolinRiderは主に3つの隠蔽手法を採用しています：

• 偽の .woff2 フォントファイル： 難読化されたJavaScriptがWebフォントファイルに偽装されます。これはほとんどの開発者が検査しないバイナリ形式です
• 空白パディング： 実行可能な行が可視ビューポートの右端までパディングされます
• Git履歴の改ざん（ForceMemo）： Git履歴を書き換え、悪意のあるコミットを数ヶ月前にバックデートし、正規のメンテナーによる定期的なメンテナンスのように見せかけます

第3段階：VS Codeタスク実行（TasksJacker）

悪意ある .vscode/tasks.json ファイルがリポジトリに注入されます。開発者が侵害されたリポジトリをクローンしてVS Codeで開くと、タスクは自動的に、それ以上のユーザー操作なしで実行されます。これにより、以前のContagious Interviewキャンペーンで使用されていたソーシャルエンジニアリングのステップ全体が不要になります 。

第4段階：ブロックチェーンベースのペイロード取得（C2）

難読化が解除されたJavaScriptローダーは、暗号通貨のブロックチェーントランザクションに埋め込まれた暗号化データを読み取ることで、次のステージのペイロードを取得します。このキャンペーンは、TRON、Aptos、BSC（BNB Smart Chain） のブロックチェーンネットワークをデッドドロップC2チャネルとして使用します 。この「etherhiding」手法により、C2データは公開ブロックチェーン上に不変に存在するため、摘発が極めて困難になります。

配信されるマルウェアペイロード

PolinRiderは、それぞれ特定の機能を持つ一連の悪意あるペイロードを配信します：

BeaverTail（JavaScriptベースのドロッパー/情報窃取型マルウェア）

配信される主要なマルウェアファミリーは、北朝鮮の作戦に関連する既知のJavaScriptベースマルウェア BeaverTail の新種です。これは第1段階のドロッパーおよび認証情報収集ツールとして機能します 。

DEV#POPPER.js（リモートアクセス型トロイの木馬）

感染チェーンは、DEV#POPPER.js として追跡されるJavaScriptベースのRATを配信します。これにより、完全なリモートコード実行（RCE）、永続的なアクセス、侵害された開発者ワークステーション上での任意のコマンド実行が可能になります。eSentireの脅威対応ユニット（TRU）は、2026年2月にエネルギー・公益事業・廃棄物セクターを標的とした実際の攻撃を検出しました 。

OmniStealer（情報窃取型マルウェア）

DEV#POPPERと共に展開される OmniStealer は、暗号通貨ウォレットの認証情報、秘密鍵、ブラウザ保存の認証情報、セッショントークン、APIキー、CI/CDシークレットを積極的に標的にします 。

その他のペイロード

• PylangGhost： Pythonベースのバックドア。このマルウェアがnpmパッケージを介して拡散されたのは初めてのことです
• Socket.ioバックドア： 攻撃者のインフラとの持続的なリバースシェル通信を確立します

Contagious Interviewとの関連性

PolinRiderは、Contagious Interview キャンペーンからの直接的な運用進化形です。Contagious Interviewが歴史的に偽の面接勧誘やソーシャルエンジニアリングに依存して開発者を騙し、トロイの木化されたプロジェクトをインストールさせていたのに対し、PolinRiderは完全に自動化され、ソーシャルエンジニアリングを必要としないサプライチェーン侵害への移行を表しています 。

主な違いと重複は以下の通りです：

• 両方のキャンペーンは同じBeaverTailマルウェアファミリーと重複するC2インフラを共有
• PolinRider/TasksJackerはソーシャルレイヤーを完全に排除——侵害は悪意あるパッケージとVS Codeの自動実行タスクを介して自動的に発生
• 両方ともブロックチェーンベースのペイロード取得を使用

推奨される防御対応

OpenSourceMalware、Socket Security、Sonatypeなどの研究者からのガイダンスに基づき、組織は以下の手順を踏むべきです：

即時対応

1. 影響を受けた環境は完全に侵害されたものとして扱う——証明されるまで認証情報とシークレットの窃取を想定
2. 影響を受けたパッケージを package.json、go.mod、ロックファイルから削除
3. 開発者ワークステーションからのすべての送信ネットワークアクティビティを確認。特にブロックチェーンノードと未知のIPアドレスへの接続
4. 影響を受けたパッケージを実行したコードベースでの作業を一時停止——既知の侵害期間前のコミットにロールバック
5. フォレンジック証拠（ログ、ディスクイメージ）を是正前に保存

コードとリポジトリのクリーンアップ

6. すべての postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs および類似ファイルをスキャンし、追加された難読化JavaScriptを確認
7. .vscode/ ディレクトリを検査し、自動実行設定のある予期しない tasks.json がないか確認
8. .woff2 およびその他のバイナリアセットファイルをレビューし、埋め込まれたJavaScriptがないか確認
9. Git履歴を監査し、未知の作成者によるバックデートされたコミットがないか確認——表示されるコミット履歴だけを信頼しない

長期的なセキュリティ強化

10. 開発者ネットワークに出力フィルタリングを実装し、送信接続を制限
11. パッケージの整合性検証を使用（ロックファイル、チェックサム検証、

    npm audit

    、socket.dev スキャン）をインストール前に実行
12. 明示的に必要でない開発環境ではVS Codeの自動実行タスクを無効化
13. 静的解析ルールを導入——DatadogはJavaScript/Node.jsコードセキュリティスキャン向けの専用PolinRider検出ルールを提供
14. ブロックチェーンベースのC2指標を監視——ブロックチェーンAPIへの異常なDNSルックアップや開発者マシン上の非標準的な外部接続
15. 既知の正常なロックファイルから再構築し、露出した可能性のあるすべてのシークレット、APIキー、暗号鍵を再ローテーション