북한 라자루스 그룹의 '폴린라이더(PolinRider)' 캠페인은 2026년 4월 말 기준 1,047명의 소유주가 관리하는 1,951개 GitHub 저장소를 감염시켰으며, 5주 만에 피해 규모가 3배로 늘었다. npm, PyPI, Go(모듈 미러), Packagist(PHP/Composer), crates.io(Rust)까지 5대 오픈소스 생태계를 넘나들며 악성 패키지를 심었고, 전 세계 주간 다운로드 1억 회의 인기 라이브러리 'Axios'까지 감염시켰다.
북한 라자루스 그룹의 '폴린라이더(PolinRider)' 캠페인은 2026년 4월 말 기준 1,047명의 소유주가 관리하는 1,951개 GitHub 저장소를 감염시켰으며, 5주 만에 피해 규모가 3배로 늘었다.
npm, PyPI, Go(모듈 미러), Packagist(PHP/Composer), crates.io(Rust)까지 5대 오픈소스 생태계를 넘나들며 악성 패키지를 심었고, 전 세계 주간 다운로드 1억 회의 인기 라이브러리 'Axios'까지 감염시켰다.
공격자는 설정 파일末尾에 난독화된 자바스크립트를 숨기고, VS Code 작업 자동 실행(.vscode/tasks.json)을 트리거로 활용하며, 페이로드를 TRON·Aptos·BSC 블록체인 거래 내역에 은닉한다.
Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com
북한 정찰총국(DPRK) 산하 라자루스 그룹이 주도하는 PolinRider(폴린라이더) 캠페인이 글로벌 오픈소스 생태계를 전방위적으로 장악하고 있습니다. 2026년 3월 OpenSourceMalware(OSM) 팀이 처음 적발한 이후, 5주 만에 피해 규모가 3배로 폭증하며 역대 가장 정교한 공급망 공격으로 평가받고 있습니다.
공격 주체와 캠페인 정체
PolinRider는 북한 라자루스 그룹의 하위 작전으로, 더 넓은 Contagious Interview(컨테이저스 인터뷰) 클러스터에 속합니다. 같은 클러스터는 Famous Chollima(페이머스 천리마)로도 추적됩니다. 이 캠페인은 VS Code 작업 자동화를 악용하는 (태스크재커) 캠페인과 사실상 병합되어 운영 중입니다.
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"북한 해커, 깃허브 1,951개 레포지토리 공격…폴린라이더 캠페인 전모"에 대한 짧은 대답은 무엇입니까?
북한 라자루스 그룹의 '폴린라이더(PolinRider)' 캠페인은 2026년 4월 말 기준 1,047명의 소유주가 관리하는 1,951개 GitHub 저장소를 감염시켰으며, 5주 만에 피해 규모가 3배로 늘었다.
먼저 검증할 핵심 포인트는 무엇인가요?
북한 라자루스 그룹의 '폴린라이더(PolinRider)' 캠페인은 2026년 4월 말 기준 1,047명의 소유주가 관리하는 1,951개 GitHub 저장소를 감염시켰으며, 5주 만에 피해 규모가 3배로 늘었다. npm, PyPI, Go(모듈 미러), Packagist(PHP/Composer), crates.io(Rust)까지 5대 오픈소스 생태계를 넘나들며 악성 패키지를 심었고, 전 세계 주간 다운로드 1억 회의 인기 라이브러리 'Axios'까지 감염시켰다.
실무에서는 다음으로 무엇을 해야 합니까?
공격자는 설정 파일末尾에 난독화된 자바스크립트를 숨기고, VS Code 작업 자동 실행(.vscode/tasks.json)을 트리거로 활용하며, 페이로드를 TRON·Aptos·BSC 블록체인 거래 내역에 은닉한다.
북한 라자루스 그룹의 '폴린라이더(PolinRider)' 캠페인은 2026년 4월 말 기준 1,047명의 소유주가 관리하는 1,951개 GitHub 저장소를 감염시켰으며, 5주 만에 피해 규모가 3배로 늘었다. npm, PyPI, Go(모듈 미러), Packagist(PHP/Composer), crates.io(Rust)까지 5대 오픈소스 생태계를 넘나들며 악성 패키지를 심었고, 전 세계 주간 다운로드 1억 회의 인기 라이브러리 'Axios'까지 감염시켰다.
북한 라자루스 그룹의 '폴린라이더(PolinRider)' 캠페인은 2026년 4월 말 기준 1,047명의 소유주가 관리하는 1,951개 GitHub 저장소를 감염시켰으며, 5주 만에 피해 규모가 3배로 늘었다.
npm, PyPI, Go(모듈 미러), Packagist(PHP/Composer), crates.io(Rust)까지 5대 오픈소스 생태계를 넘나들며 악성 패키지를 심었고, 전 세계 주간 다운로드 1억 회의 인기 라이브러리 'Axios'까지 감염시켰다.
공격자는 설정 파일末尾에 난독화된 자바스크립트를 숨기고, VS Code 작업 자동 실행(.vscode/tasks.json)을 트리거로 활용하며, 페이로드를 TRON·Aptos·BSC 블록체인 거래 내역에 은닉한다.
Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems.
AI 프롬프트
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com
북한 정찰총국(DPRK) 산하 라자루스 그룹이 주도하는 PolinRider(폴린라이더) 캠페인이 글로벌 오픈소스 생태계를 전방위적으로 장악하고 있습니다. 2026년 3월 OpenSourceMalware(OSM) 팀이 처음 적발한 이후, 5주 만에 피해 규모가 3배로 폭증하며 역대 가장 정교한 공급망 공격으로 평가받고 있습니다.
공격 주체와 캠페인 정체
PolinRider는 북한 라자루스 그룹의 하위 작전으로, 더 넓은 Contagious Interview(컨테이저스 인터뷰) 클러스터에 속합니다. 같은 클러스터는 Famous Chollima(페이머스 천리마)로도 추적됩니다. 이 캠페인은 VS Code 작업 자동화를 악용하는 (태스크재커) 캠페인과 사실상 병합되어 운영 중입니다.
Studio Global AI
연구를 계속하세요
이 페이지에는 Studio Global 내에서 계속할 수 있는 소스 기반 답변이 포함되어 있습니다.
"북한 해커, 깃허브 1,951개 레포지토리 공격…폴린라이더 캠페인 전모"에 대한 짧은 대답은 무엇입니까?
북한 라자루스 그룹의 '폴린라이더(PolinRider)' 캠페인은 2026년 4월 말 기준 1,047명의 소유주가 관리하는 1,951개 GitHub 저장소를 감염시켰으며, 5주 만에 피해 규모가 3배로 늘었다.
먼저 검증할 핵심 포인트는 무엇인가요?
북한 라자루스 그룹의 '폴린라이더(PolinRider)' 캠페인은 2026년 4월 말 기준 1,047명의 소유주가 관리하는 1,951개 GitHub 저장소를 감염시켰으며, 5주 만에 피해 규모가 3배로 늘었다. npm, PyPI, Go(모듈 미러), Packagist(PHP/Composer), crates.io(Rust)까지 5대 오픈소스 생태계를 넘나들며 악성 패키지를 심었고, 전 세계 주간 다운로드 1억 회의 인기 라이브러리 'Axios'까지 감염시켰다.
실무에서는 다음으로 무엇을 해야 합니까?
공격자는 설정 파일末尾에 난독화된 자바스크립트를 숨기고, VS Code 작업 자동 실행(.vscode/tasks.json)을 트리거로 활용하며, 페이로드를 TRON·Aptos·BSC 블록체인 거래 내역에 은닉한다.
npm (Node.js): dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt, debug-glit 등
PyPI (Python): logutilkit, apachelicense, fluxhttp, license-utils-kit 등
Go (모듈 미러): github.com/golangorg/formstash, github.com/aokisasakidev/mit-license-pkg 등
Packagist (PHP/Composer): 2026년 7월부터 본격 확산
Rust (crates.io): logtrace 등
GitHub Actions & VS Code 확장: .vscode/tasks.json 및 CI/CD 파이프라인 침투
Axios 라이브러리 감염 사고
2026년 4월, PolinRider 캠페인은 전 세계 주간 다운로드 약 1억 회를 기록한 인기 npm 라이브러리 Axios(버전 1.14.1 및 0.30.0)를 감염시켰습니다. 공격자는 plain-crypto-js라는 악성 의존성을 주입했습니다.
4단계 감염 체인
1단계: 설정 파일에 난독화된 자바스크립트 로더 삽입
공격자는 postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs 같은 정상 설정 파일 맨 끝에 고도로 난독화된 자바스크립트를 덧붙입니다. 악성 코드 라인은 과도한 공백으로 밀어내어 기본 IDE 화면 너비 밖에 위치하므로 코드 리뷰 중 육안으로 발견하기 어렵습니다.
2단계: 정교한 은닉 수법
가짜 .woff2 폰트 파일: 난독화된 자바스크립트를 웹 폰트 파일 형식으로 위장. 개발자가 바이너리 폰트 파일을 직접 검사하는 경우는 드뭅니다.
공백 패딩(Whitespace padding): 실행 가능한 코드를 화면 가시 영역 오른쪽으로 밀어냅니다.
Git 히스토리 위조(ForceMemo 모듈): 악성 커밋의 날짜를 수개월 전으로 소급하여 정상 유지보수처럼 보이게 합니다.
3단계: VS Code 작업 자동 실행(TasksJacker)
감염된 저장소에 .vscode/tasks.json 파일이 주입됩니다. 개발자가 저장소를 클론(clone)하여 VS Code에서 열기만 하면 추가 사용자 상호작용 없이 작업이 자동 실행됩니다. 이는 이전 Contagious Interview 캠페인의 사회공학적 단계를 완전히 우회합니다.
4단계: 블록체인 기반 페이로드 수신(C2)
난독화가 해제된 자바스크립트 로더는 TRON(트론), Aptos(앱토스), BSC(BNB 스마트 체인) 블록체인 네트워크의 거래 내역에 암호화되어 저장된 데이터를 읽어 다음 단계 페이로드를 가져옵니다. 이 'etherhiding' 기법은 C2 데이터가 변경 불가능한 공개 블록체인에 영구히 존재하므로 차단이 극도로 어렵습니다.
전달되는 맬웨어 페이로드
BeaverTail (자바스크립트 기반 드로퍼/정보 탈취기)
PolinRider가 전달하는 주요 맬웨어군. 1단계 드로퍼이자 자격 증명 수집기 역할을 합니다.
DEV#POPPER.js (원격 접근 트로이목마)
완전한 원격 코드 실행(RCE) 기능을 갖춘 자바스크립트 기반 RAT. eSentire의 TRU(위협 대응팀)는 2026년 2월 에너지·유틸리티·폐기물 업종 고객 환경에서 실제 탐지했습니다.
OmniStealer (정보 탈취기)
암호화폐 지갑 자격 증명, 개인 키, 브라우저 저장 자격 증명, 세션 토큰, API 키, CI/CD 시크릿 등을 집중적으로 탈취합니다.
기타 페이로드
PylangGhost: Python 기반 백도어. npm 패키지를 통해 이 맬웨어가 유포된 첫 사례입니다.
Socket.io 백도어: 공격자 인프라와 지속적인 리버스 셸 통신 채널을 구축합니다.
Contagious Interview와의 연결점
PolinRider는 Contagious Interview 캠페인의 직접적인 진화형입니다. 과거 Contagious Interview는 가짜 채용 면접을 미끼로 개발자가 트로이 목마 프로젝트를 설치하도록 사회공학적 공격에 의존했지만, PolinRider는 완전 자동화된, 사회공학적 단계가 필요 없는 공급망 침해로 전환했습니다.
두 캠페인 모두 동일한 BeaverTail 맬웨어군과 중복되는 C2 인프라를 공유합니다.
PolinRider/TasksJacker는 악성 패키지 및 VS Code 자동 실행 작업을 통해 사람의 개입 없이 감염이 이루어집니다.
두 캠페인 모두 블록체인 기반 페이로드 수신을 사용합니다.
권장 대응 조치
즉시 조치
영향을 받은 모든 환경을 완전히 침해된 것으로 간주하고 모든 자격 증명과 시크릿이 유출되었다고 가정합니다.
package.json, go.mod, lockfile에서 영향받은 패키지를 제거합니다.
개발자 워크스테이션의 모든 아웃바운드 네트워크 활동, 특히 블록체인 노드 및 알 수 없는 IP로의 연결을 검토합니다.
영향받은 패키지를 실행한 모든 코드베이스 작업을 중단하고, 알려진 침해 시점 이전의 커밋으로 되돌립니다.
복구 전에 포렌식 증거(로그, 디스크 이미지)를 보존합니다.
코드 및 저장소 정리
postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs 및 유사 파일에서 추가된 난독화 자바스크립트를 스캔합니다.
.vscode/ 디렉토리 내 예상치 못한 자동 실행 설정의 tasks.json 파일이 있는지 검사합니다.
.woff2 및 기타 바이너리 자산 파일에 포함된 자바스크립트를 검토합니다.
알 수 없는 작성자의 소급된 커밋을 위해 Git 히스토리를 감사합니다. 표시된 커밋 히스토리만 신뢰하지 마십시오.
장기적 강화
개발자 네트워크에 이그레스 필터링(egress filtering)을 구현하여 아웃바운드 연결을 제한합니다.
설치 전 패키지 무결성 검증(lockfile, 체크섬 검증, npm audit, socket.dev 스캔)을 사용합니다.
명시적으로 필요하지 않은 개발 환경에서는 VS Code 자동 실행 작업을 비활성화합니다.
정적 분석 규칙을 배포합니다. Datadog은 JavaScript/Node.js 코드 보안 스캐닝을 위한 전용 PolinRider 탐지 규칙을 제공합니다.
블록체인 기반 C2 지표(블록체인 API에 대한 비정상적인 DNS 조회, 개발자 머신의 비표준 아웃바운드 연결)를 모니터링합니다.
알려진 정상 lockfile에서 재구축하고, 영향받은 워크스테이션에서 노출되었을 수 있는 모든 시크릿, API 키, 암호화 키를 재발급합니다.
PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
npm (Node.js): dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt, debug-glit 등
PyPI (Python): logutilkit, apachelicense, fluxhttp, license-utils-kit 등
Go (모듈 미러): github.com/golangorg/formstash, github.com/aokisasakidev/mit-license-pkg 등
Packagist (PHP/Composer): 2026년 7월부터 본격 확산
Rust (crates.io): logtrace 등
GitHub Actions & VS Code 확장: .vscode/tasks.json 및 CI/CD 파이프라인 침투
Axios 라이브러리 감염 사고
2026년 4월, PolinRider 캠페인은 전 세계 주간 다운로드 약 1억 회를 기록한 인기 npm 라이브러리 Axios(버전 1.14.1 및 0.30.0)를 감염시켰습니다. 공격자는 plain-crypto-js라는 악성 의존성을 주입했습니다.
4단계 감염 체인
1단계: 설정 파일에 난독화된 자바스크립트 로더 삽입
공격자는 postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs 같은 정상 설정 파일 맨 끝에 고도로 난독화된 자바스크립트를 덧붙입니다. 악성 코드 라인은 과도한 공백으로 밀어내어 기본 IDE 화면 너비 밖에 위치하므로 코드 리뷰 중 육안으로 발견하기 어렵습니다.
2단계: 정교한 은닉 수법
가짜 .woff2 폰트 파일: 난독화된 자바스크립트를 웹 폰트 파일 형식으로 위장. 개발자가 바이너리 폰트 파일을 직접 검사하는 경우는 드뭅니다.
공백 패딩(Whitespace padding): 실행 가능한 코드를 화면 가시 영역 오른쪽으로 밀어냅니다.
Git 히스토리 위조(ForceMemo 모듈): 악성 커밋의 날짜를 수개월 전으로 소급하여 정상 유지보수처럼 보이게 합니다.
3단계: VS Code 작업 자동 실행(TasksJacker)
감염된 저장소에 .vscode/tasks.json 파일이 주입됩니다. 개발자가 저장소를 클론(clone)하여 VS Code에서 열기만 하면 추가 사용자 상호작용 없이 작업이 자동 실행됩니다. 이는 이전 Contagious Interview 캠페인의 사회공학적 단계를 완전히 우회합니다.
4단계: 블록체인 기반 페이로드 수신(C2)
난독화가 해제된 자바스크립트 로더는 TRON(트론), Aptos(앱토스), BSC(BNB 스마트 체인) 블록체인 네트워크의 거래 내역에 암호화되어 저장된 데이터를 읽어 다음 단계 페이로드를 가져옵니다. 이 'etherhiding' 기법은 C2 데이터가 변경 불가능한 공개 블록체인에 영구히 존재하므로 차단이 극도로 어렵습니다.
전달되는 맬웨어 페이로드
BeaverTail (자바스크립트 기반 드로퍼/정보 탈취기)
PolinRider가 전달하는 주요 맬웨어군. 1단계 드로퍼이자 자격 증명 수집기 역할을 합니다.
DEV#POPPER.js (원격 접근 트로이목마)
완전한 원격 코드 실행(RCE) 기능을 갖춘 자바스크립트 기반 RAT. eSentire의 TRU(위협 대응팀)는 2026년 2월 에너지·유틸리티·폐기물 업종 고객 환경에서 실제 탐지했습니다.
OmniStealer (정보 탈취기)
암호화폐 지갑 자격 증명, 개인 키, 브라우저 저장 자격 증명, 세션 토큰, API 키, CI/CD 시크릿 등을 집중적으로 탈취합니다.
기타 페이로드
PylangGhost: Python 기반 백도어. npm 패키지를 통해 이 맬웨어가 유포된 첫 사례입니다.
Socket.io 백도어: 공격자 인프라와 지속적인 리버스 셸 통신 채널을 구축합니다.
Contagious Interview와의 연결점
PolinRider는 Contagious Interview 캠페인의 직접적인 진화형입니다. 과거 Contagious Interview는 가짜 채용 면접을 미끼로 개발자가 트로이 목마 프로젝트를 설치하도록 사회공학적 공격에 의존했지만, PolinRider는 완전 자동화된, 사회공학적 단계가 필요 없는 공급망 침해로 전환했습니다.
두 캠페인 모두 동일한 BeaverTail 맬웨어군과 중복되는 C2 인프라를 공유합니다.
PolinRider/TasksJacker는 악성 패키지 및 VS Code 자동 실행 작업을 통해 사람의 개입 없이 감염이 이루어집니다.
두 캠페인 모두 블록체인 기반 페이로드 수신을 사용합니다.
권장 대응 조치
즉시 조치
영향을 받은 모든 환경을 완전히 침해된 것으로 간주하고 모든 자격 증명과 시크릿이 유출되었다고 가정합니다.
package.json, go.mod, lockfile에서 영향받은 패키지를 제거합니다.
개발자 워크스테이션의 모든 아웃바운드 네트워크 활동, 특히 블록체인 노드 및 알 수 없는 IP로의 연결을 검토합니다.
영향받은 패키지를 실행한 모든 코드베이스 작업을 중단하고, 알려진 침해 시점 이전의 커밋으로 되돌립니다.
복구 전에 포렌식 증거(로그, 디스크 이미지)를 보존합니다.
코드 및 저장소 정리
postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs 및 유사 파일에서 추가된 난독화 자바스크립트를 스캔합니다.
.vscode/ 디렉토리 내 예상치 못한 자동 실행 설정의 tasks.json 파일이 있는지 검사합니다.
.woff2 및 기타 바이너리 자산 파일에 포함된 자바스크립트를 검토합니다.
알 수 없는 작성자의 소급된 커밋을 위해 Git 히스토리를 감사합니다. 표시된 커밋 히스토리만 신뢰하지 마십시오.
장기적 강화
개발자 네트워크에 이그레스 필터링(egress filtering)을 구현하여 아웃바운드 연결을 제한합니다.
설치 전 패키지 무결성 검증(lockfile, 체크섬 검증, npm audit, socket.dev 스캔)을 사용합니다.
명시적으로 필요하지 않은 개발 환경에서는 VS Code 자동 실행 작업을 비활성화합니다.
정적 분석 규칙을 배포합니다. Datadog은 JavaScript/Node.js 코드 보안 스캐닝을 위한 전용 PolinRider 탐지 규칙을 제공합니다.
블록체인 기반 C2 지표(블록체인 API에 대한 비정상적인 DNS 조회, 개발자 머신의 비표준 아웃바운드 연결)를 모니터링합니다.
알려진 정상 lockfile에서 재구축하고, 영향받은 워크스테이션에서 노출되었을 수 있는 모든 시크릿, API 키, 암호화 키를 재발급합니다.
PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
