PolinRiderは北朝鮮（Lazarus / Contagious Interviewクラスタ）に帰属するサプライチェーン攻撃で、2026年4月末時点で1,047の所有者が管理する1,951件のGitHubリポジトリを侵害。5週間で被害は約3倍に拡大しました [7][8][22]。 攻撃はnpmを起点にPyPI、Go Module Mirror、Packagist（PHP）、crates.io（Rust）に拡大し、さらに広く使われるAxiosライブラリ（週間1億ダウンロード）も標的に。悪意あるnpmパッケージは1,700以上公開されています [5][6][13]。 感染チェーンは難読化された設定ファイルへのコード埋め込み、偽のフォントファイル、Git履歴の改ざん、VS Codeタスクの自動実行、そしてブロックチェーン（TRON・Aptos・BSC）をC2通信に利用する多重ステージ構成。BeaverTail、DEV POPPER.js、OmniStealerなどのペイロードを配信します [2][7][9][35][36]。 Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers, An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems. AI プロンプト Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com PolinRiderキャンペーンは、北朝鮮に帰属するものとしてこれまでに確認された中でも、最も攻撃的かつ技術的に洗練されたオープンソースサプライチェーン攻撃の一つです。2026年3月にOpenSourceMalwareによって初めて警告されて以来、複数のパッケージエコシステムと開発者ツールチェーンに急速に拡大し、約2,000件のGitHubリポジトリを侵害し、指揮統制（C2）通信の復元力のためにブロックチェーン技術を活用しています
帰属とキャンペーンの正体
PolinRiderは朝鮮民主主義人民共和国（DPRK）に帰属し、Lazarusグループと関連付けられています。これはより広範な Contagious Interview クラスター（Famous Chollimaとしても追跡）内のサブキャンペーンとして動作します
人々も尋ねます 「PolinRiderキャンペーン：北朝鮮Lazarusグループによる大規模オープンソースサプライチェーン攻撃の全貌」の短い答えは何ですか? PolinRiderは北朝鮮（Lazarus / Contagious Interviewクラスタ）に帰属するサプライチェーン攻撃で、2026年4月末時点で1,047の所有者が管理する1,951件のGitHubリポジトリを侵害。5週間で被害は約3倍に拡大しました [7][8][22]。
最初に検証する重要なポイントは何ですか? PolinRiderは北朝鮮（Lazarus / Contagious Interviewクラスタ）に帰属するサプライチェーン攻撃で、2026年4月末時点で1,047の所有者が管理する1,951件のGitHubリポジトリを侵害。5週間で被害は約3倍に拡大しました [7][8][22]。 攻撃はnpmを起点にPyPI、Go Module Mirror、Packagist（PHP）、crates.io（Rust）に拡大し、さらに広く使われるAxiosライブラリ（週間1億ダウンロード）も標的に。悪意あるnpmパッケージは1,700以上公開されています [5][6][13]。
次の実践では何をすればいいでしょうか？ 感染チェーンは難読化された設定ファイルへのコード埋め込み、偽のフォントファイル、Git履歴の改ざん、VS Codeタスクの自動実行、そしてブロックチェーン（TRON・Aptos・BSC）をC2通信に利用する多重ステージ構成。BeaverTail、DEV POPPER.js、OmniStealerなどのペイロードを配信します [2][7][9][35][36]。
PolinRiderは北朝鮮（Lazarus / Contagious Interviewクラスタ）に帰属するサプライチェーン攻撃で、2026年4月末時点で1,047の所有者が管理する1,951件のGitHubリポジトリを侵害。5週間で被害は約3倍に拡大しました [7][8][22]。 攻撃はnpmを起点にPyPI、Go Module Mirror、Packagist（PHP）、crates.io（Rust）に拡大し、さらに広く使われるAxiosライブラリ（週間1億ダウンロード）も標的に。悪意あるnpmパッケージは1,700以上公開されています [5][6][13]。 感染チェーンは難読化された設定ファイルへのコード埋め込み、偽のフォントファイル、Git履歴の改ざん、VS Codeタスクの自動実行、そしてブロックチェーン（TRON・Aptos・BSC）をC2通信に利用する多重ステージ構成。BeaverTail、DEV POPPER.js、OmniStealerなどのペイロードを配信します [2][7][9][35][36]。 Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers, An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems. AI プロンプト Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com PolinRiderキャンペーンは、北朝鮮に帰属するものとしてこれまでに確認された中でも、最も攻撃的かつ技術的に洗練されたオープンソースサプライチェーン攻撃の一つです。2026年3月にOpenSourceMalwareによって初めて警告されて以来、複数のパッケージエコシステムと開発者ツールチェーンに急速に拡大し、約2,000件のGitHubリポジトリを侵害し、指揮統制（C2）通信の復元力のためにブロックチェーン技術を活用しています
帰属とキャンペーンの正体
PolinRiderは朝鮮民主主義人民共和国（DPRK）に帰属し、Lazarusグループと関連付けられています。これはより広範な Contagious Interview クラスター（Famous Chollimaとしても追跡）内のサブキャンペーンとして動作します
人々も尋ねます 「PolinRiderキャンペーン：北朝鮮Lazarusグループによる大規模オープンソースサプライチェーン攻撃の全貌」の短い答えは何ですか? PolinRiderは北朝鮮（Lazarus / Contagious Interviewクラスタ）に帰属するサプライチェーン攻撃で、2026年4月末時点で1,047の所有者が管理する1,951件のGitHubリポジトリを侵害。5週間で被害は約3倍に拡大しました [7][8][22]。
最初に検証する重要なポイントは何ですか? PolinRiderは北朝鮮（Lazarus / Contagious Interviewクラスタ）に帰属するサプライチェーン攻撃で、2026年4月末時点で1,047の所有者が管理する1,951件のGitHubリポジトリを侵害。5週間で被害は約3倍に拡大しました [7][8][22]。 攻撃はnpmを起点にPyPI、Go Module Mirror、Packagist（PHP）、crates.io（Rust）に拡大し、さらに広く使われるAxiosライブラリ（週間1億ダウンロード）も標的に。悪意あるnpmパッケージは1,700以上公開されています [5][6][13]。
次の実践では何をすればいいでしょうか？ 感染チェーンは難読化された設定ファイルへのコード埋め込み、偽のフォントファイル、Git履歴の改ざん、VS Codeタスクの自動実行、そしてブロックチェーン（TRON・Aptos・BSC）をC2通信に利用する多重ステージ構成。BeaverTail、DEV POPPER.js、OmniStealerなどのペイロードを配信します [2][7][9][35][36]。
TasksJacker
規模と影響範囲 PolinRiderの規模は広大で、急速に成長しています：
侵害されたGitHubリポジトリ：1,951件 、1,047人のユニークな所有者 （2026年4月下旬時点）影響を受けたリポジトリの数は、最初の報告から5週間で約3倍 に増加
より広範なContagious Interview作戦の一環として、1,700以上の悪意あるnpmパッケージ が公開
標的とされたエコシステム このキャンペーンは初期の浸入口であるnpmをはるかに超えて広がっています：
npm（Node.js）： 主要な標的。数百の悪意あるパッケージ（dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt、debug-glit など）PyPI（Python）： Contagious Interview作戦の一環として配布されたPythonパッケージ Go（Go Module Mirror）： Socket Securityによって悪意あるGoパッケージが特定 Packagist（PHP/Composer）： 2026年7月までにこのエコシステムにも拡大 Rust（crates.io）： より広範なキャンペーンで標的に GitHub ActionsとVS Code拡張機能： 悪意ある .vscode/tasks.json ファイルと注入されたCIパイプラインを介して侵害 このキャンペーンは、2026年4月には広く使われている Axios npmライブラリ（バージョン1.14.1および0.30.0）も侵害し、plain-crypto-js という悪意ある依存関係を介して、週間約1億ダウンロードに影響を与えました
多段階感染手法 PolinRiderの感染チェーンは、ステルス性を最大化し、被害者の操作を最小限にするよう綿密に調整された4段階のプロセスです。
第1段階：設定ファイル内の難読化されたJavaScriptローダー
第2段階：高度な隠蔽手法 PolinRiderは主に3つの隠蔽手法を採用しています：
偽の .woff2 フォントファイル： 難読化されたJavaScriptがWebフォントファイルに偽装されます。これはほとんどの開発者が検査しないバイナリ形式です 空白パディング： 実行可能な行が可視ビューポートの右端までパディングされます Git履歴の改ざん（ForceMemo）： Git履歴を書き換え、悪意のあるコミットを数ヶ月前にバックデートし、正規のメンテナーによる定期的なメンテナンスのように見せかけます
第3段階：VS Codeタスク実行（TasksJacker）
第4段階：ブロックチェーンベースのペイロード取得（C2）
配信されるマルウェアペイロード PolinRiderは、それぞれ特定の機能を持つ一連の悪意あるペイロードを配信します：
BeaverTail（JavaScriptベースのドロッパー/情報窃取型マルウェア） 配信される主要なマルウェアファミリーは、北朝鮮の作戦に関連する既知のJavaScriptベースマルウェア BeaverTail の新種です。これは第1段階のドロッパーおよび認証情報収集ツールとして機能します
DEV#POPPER.js（リモートアクセス型トロイの木馬） 感染チェーンは、DEV#POPPER.js として追跡されるJavaScriptベースのRATを配信します。これにより、完全なリモートコード実行（RCE）、永続的なアクセス、侵害された開発者ワークステーション上での任意のコマンド実行が可能になります。eSentireの脅威対応ユニット（TRU）は、2026年2月にエネルギー・公益事業・廃棄物セクターを標的とした実際の攻撃を検出しました
OmniStealer（情報窃取型マルウェア） DEV#POPPERと共に展開される OmniStealer は、暗号通貨ウォレットの認証情報、秘密鍵、ブラウザ保存の認証情報、セッショントークン、APIキー、CI/CDシークレットを積極的に標的にします
その他のペイロード
PylangGhost： Pythonベースのバックドア。このマルウェアがnpmパッケージを介して拡散されたのは初めてのことです Socket.ioバックドア： 攻撃者のインフラとの持続的なリバースシェル通信を確立します
Contagious Interviewとの関連性
両方のキャンペーンは同じBeaverTailマルウェアファミリーと重複するC2インフラを共有
PolinRider/TasksJackerはソーシャルレイヤーを完全に排除——侵害は悪意あるパッケージとVS Codeの自動実行タスクを介して自動的に発生
両方ともブロックチェーンベースのペイロード取得を使用
推奨される防御対応 OpenSourceMalware、Socket Security、Sonatypeなどの研究者からのガイダンスに基づき、組織は以下の手順を踏むべきです：
即時対応
影響を受けた環境は完全に侵害されたものとして扱う ——証明されるまで認証情報とシークレットの窃取を想定 影響を受けたパッケージを package.json、go.mod、ロックファイルから削除 開発者ワークステーションからのすべての送信ネットワークアクティビティを確認 。特にブロックチェーンノードと未知のIPアドレスへの接続 影響を受けたパッケージを実行したコードベースでの作業を一時停止 ——既知の侵害期間前のコミットにロールバック フォレンジック証拠（ログ、ディスクイメージ）を是正前に保存
コードとリポジトリのクリーンアップ
すべての postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs および類似ファイルをスキャンし、追加された難読化JavaScriptを確認 .vscode/ ディレクトリを検査tasks.json がないか確認 .woff2 およびその他のバイナリアセットファイルをレビューGit履歴を監査 し、未知の作成者によるバックデートされたコミットがないか確認——表示されるコミット履歴だけを信頼しない
長期的なセキュリティ強化
開発者ネットワークに出力フィルタリングを実装 し、送信接続を制限 パッケージの整合性検証を使用 （ロックファイル、チェックサム検証、npm audit、socket.dev スキャン）をインストール前に実行 明示的に必要でない開発環境ではVS Codeの自動実行タスクを無効化 静的解析ルールを導入 ——DatadogはJavaScript/Node.jsコードセキュリティスキャン向けの専用PolinRider検出ルールを提供 ブロックチェーンベースのC2指標を監視 ——ブロックチェーンAPIへの異常なDNSルックアップや開発者マシン上の非標準的な外部接続 既知の正常なロックファイルから再構築し、露出した可能性のあるすべてのシークレット、APIキー、暗号鍵を再ローテーション PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
TasksJacker
規模と影響範囲 PolinRiderの規模は広大で、急速に成長しています：
侵害されたGitHubリポジトリ：1,951件 、1,047人のユニークな所有者 （2026年4月下旬時点）影響を受けたリポジトリの数は、最初の報告から5週間で約3倍 に増加
より広範なContagious Interview作戦の一環として、1,700以上の悪意あるnpmパッケージ が公開
標的とされたエコシステム このキャンペーンは初期の浸入口であるnpmをはるかに超えて広がっています：
npm（Node.js）： 主要な標的。数百の悪意あるパッケージ（dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt、debug-glit など）PyPI（Python）： Contagious Interview作戦の一環として配布されたPythonパッケージ Go（Go Module Mirror）： Socket Securityによって悪意あるGoパッケージが特定 Packagist（PHP/Composer）： 2026年7月までにこのエコシステムにも拡大 Rust（crates.io）： より広範なキャンペーンで標的に GitHub ActionsとVS Code拡張機能： 悪意ある .vscode/tasks.json ファイルと注入されたCIパイプラインを介して侵害 このキャンペーンは、2026年4月には広く使われている Axios npmライブラリ（バージョン1.14.1および0.30.0）も侵害し、plain-crypto-js という悪意ある依存関係を介して、週間約1億ダウンロードに影響を与えました
多段階感染手法 PolinRiderの感染チェーンは、ステルス性を最大化し、被害者の操作を最小限にするよう綿密に調整された4段階のプロセスです。
第1段階：設定ファイル内の難読化されたJavaScriptローダー
第2段階：高度な隠蔽手法 PolinRiderは主に3つの隠蔽手法を採用しています：
偽の .woff2 フォントファイル： 難読化されたJavaScriptがWebフォントファイルに偽装されます。これはほとんどの開発者が検査しないバイナリ形式です 空白パディング： 実行可能な行が可視ビューポートの右端までパディングされます Git履歴の改ざん（ForceMemo）： Git履歴を書き換え、悪意のあるコミットを数ヶ月前にバックデートし、正規のメンテナーによる定期的なメンテナンスのように見せかけます
第3段階：VS Codeタスク実行（TasksJacker）
第4段階：ブロックチェーンベースのペイロード取得（C2）
配信されるマルウェアペイロード PolinRiderは、それぞれ特定の機能を持つ一連の悪意あるペイロードを配信します：
BeaverTail（JavaScriptベースのドロッパー/情報窃取型マルウェア） 配信される主要なマルウェアファミリーは、北朝鮮の作戦に関連する既知のJavaScriptベースマルウェア BeaverTail の新種です。これは第1段階のドロッパーおよび認証情報収集ツールとして機能します
DEV#POPPER.js（リモートアクセス型トロイの木馬） 感染チェーンは、DEV#POPPER.js として追跡されるJavaScriptベースのRATを配信します。これにより、完全なリモートコード実行（RCE）、永続的なアクセス、侵害された開発者ワークステーション上での任意のコマンド実行が可能になります。eSentireの脅威対応ユニット（TRU）は、2026年2月にエネルギー・公益事業・廃棄物セクターを標的とした実際の攻撃を検出しました
OmniStealer（情報窃取型マルウェア） DEV#POPPERと共に展開される OmniStealer は、暗号通貨ウォレットの認証情報、秘密鍵、ブラウザ保存の認証情報、セッショントークン、APIキー、CI/CDシークレットを積極的に標的にします
その他のペイロード
PylangGhost： Pythonベースのバックドア。このマルウェアがnpmパッケージを介して拡散されたのは初めてのことです Socket.ioバックドア： 攻撃者のインフラとの持続的なリバースシェル通信を確立します
Contagious Interviewとの関連性
両方のキャンペーンは同じBeaverTailマルウェアファミリーと重複するC2インフラを共有
PolinRider/TasksJackerはソーシャルレイヤーを完全に排除——侵害は悪意あるパッケージとVS Codeの自動実行タスクを介して自動的に発生
両方ともブロックチェーンベースのペイロード取得を使用
推奨される防御対応 OpenSourceMalware、Socket Security、Sonatypeなどの研究者からのガイダンスに基づき、組織は以下の手順を踏むべきです：
即時対応
影響を受けた環境は完全に侵害されたものとして扱う ——証明されるまで認証情報とシークレットの窃取を想定 影響を受けたパッケージを package.json、go.mod、ロックファイルから削除 開発者ワークステーションからのすべての送信ネットワークアクティビティを確認 。特にブロックチェーンノードと未知のIPアドレスへの接続 影響を受けたパッケージを実行したコードベースでの作業を一時停止 ——既知の侵害期間前のコミットにロールバック フォレンジック証拠（ログ、ディスクイメージ）を是正前に保存
コードとリポジトリのクリーンアップ
すべての postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs および類似ファイルをスキャンし、追加された難読化JavaScriptを確認 .vscode/ ディレクトリを検査tasks.json がないか確認 .woff2 およびその他のバイナリアセットファイルをレビューGit履歴を監査 し、未知の作成者によるバックデートされたコミットがないか確認——表示されるコミット履歴だけを信頼しない
長期的なセキュリティ強化
開発者ネットワークに出力フィルタリングを実装 し、送信接続を制限 パッケージの整合性検証を使用 （ロックファイル、チェックサム検証、npm audit、socket.dev スキャン）をインストール前に実行 明示的に必要でない開発環境ではVS Codeの自動実行タスクを無効化 静的解析ルールを導入 ——DatadogはJavaScript/Node.jsコードセキュリティスキャン向けの専用PolinRider検出ルールを提供 ブロックチェーンベースのC2指標を監視 ——ブロックチェーンAPIへの異常なDNSルックアップや開発者マシン上の非標準的な外部接続 既知の正常なロックファイルから再構築し、露出した可能性のあるすべてのシークレット、APIキー、暗号鍵を再ローテーション PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
