PolinRider: Noord-Koreaanse hackers compromitteren 1.951 GitHub-reposities in grootschalige supply chain-aanval

De PolinRider-campagne is een van de meest agressieve en technisch geavanceerde aanvallen op open-source supply chains die ooit aan Noord-Korea is toegeschreven. Voor het eerst gesignaleerd door OpenSourceMalware in maart 2026, heeft de campagne zich snel uitgebreid over meerdere pakket-ecosystemen en ontwikkeltools, waarbij bijna 2.000 GitHub-reposities zijn gecompromitteerd en blockchain-technologie wordt gebruikt voor een veerkrachtige command-and-control (C2)-infrastructuur .

Toeschrijving en campagne-identiteit

PolinRider wordt toegeschreven aan de Democratische Volksrepubliek Korea (DVK) en valt binnen de Lazarus Group. Het opereert als een subcampagne binnen het bredere Contagious Interview-cluster (ook bekend als Famous Chollima) . De campagne is operationeel samengevoegd met de gerelateerde TasksJacker-campagne, die zich richt op het misbruiken van VS Code-taakautomatisering .

Omvang en schaal

De schaal van PolinRider is enorm en groeit snel:

• 1.951 gecompromitteerde GitHub-reposities van 1.047 unieke eigenaren eind april 2026
• Het aantal getroffen repositories is in de vijf weken na de eerste melding ruwweg verdrievoudigd
• Meer dan 1.700 kwaadaardige npm-pakketten zijn gepubliceerd als onderdeel van de bredere Contagious Interview-operatie

Doelwit-ecosystemen

De campagne heeft zich ver verspreid buiten npm, de initiële vector:

• npm (Node.js): Het primaire doelwit, met honderden kwaadaardige pakketten zoals dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt en debug-glit
• PyPI (Python): Python-pakketten verspreid als onderdeel van de Contagious Interview-operatie
• Go (Go Module Mirror): Kwaadaardige Go-pakketten geïdentificeerd door Socket Security
• Packagist (PHP/Composer): Uitbreiding naar dit ecosysteem in juli 2026
• Rust (crates.io): Doelwit in de bredere campagne
• GitHub Actions en VS Code-extensies: Gecompromitteerd via kwaadaardige .vscode/tasks.json-bestanden en geïnjecteerde CI-pipelines

De campagne compromitteerde ook de veelgebruikte Axios npm-bibliotheek (versies 1.14.1 en 0.30.0) in april 2026 via een kwaadaardige afhankelijkheid genaamd plain-crypto-js, die ongeveer 100 miljoen wekelijkse downloads trof .

De meerfasige infectietechniek

De PolinRider-infectieketen is een zorgvuldig georkestreerd, vierfasig proces dat is ontworpen om maximale stealth te bieden en minimale interactie van het slachtoffer vereist.

Fase 1: Geobfusceerde JavaScript-laders in configuratiebestanden

Aanvallers voegen zwaar geobfusceerde JavaScript toe aan het einde van legitieme ontwikkelaarsconfiguratiebestanden zoals postcss.config.mjs, tailwind.config.js, eslint.config.mjs en next.config.mjs . De kwaadaardige regels worden opgevuld met overmatige witruimte, waardoor de code buiten de standaard IDE-weergavebreedte wordt geduwd en onzichtbaar blijft tijdens een snelle codereview .

Fase 2: Geavanceerde verbergingsmethoden

PolinRider gebruikt drie primaire verbergingstechnieken:

• Nep-.woff2-lettertypebestanden: De geobfusceerde JavaScript wordt vermomd als een weblettertypebestand, een binair formaat dat de meeste ontwikkelaars nooit inspecteren
• Witruimte-opvulling: Uitvoerbare regels worden ver naar rechts van het zichtbare venster geplaatst
• Git-geschiedenisvervalsing (ForceMemo): Een module die de Git-geschiedenis herschrijft, waarbij kwaadaardige commits maanden worden teruggedateerd zodat ze lijken op routinematig onderhoud van legitieme beheerders

Fase 3: VS Code-taakuitvoering (TasksJacker)

Kwaadaardige .vscode/tasks.json-bestanden worden in repositories geïnjecteerd. Wanneer een ontwikkelaar een gecompromitteerde repo kloont en opent in VS Code, wordt de taak automatisch uitgevoerd zonder verdere gebruikersinteractie. Dit omzeilt de social engineering-stap die in eerdere Contagious Interview-campagnes werd gebruikt volledig .

Fase 4: Blockchain-gebaseerde payload-ophaling (C2)

De gedebusceerde JavaScript-lader haalt de volgende payload op door versleutelde gegevens te lezen die zijn ingebed in cryptocurrency-blockchaintransacties. De campagne maakt gebruik van de TRON-, Aptos- en BSC (BNB Smart Chain)-blockchainnetwerken als dead-drop C2-kanalen . Deze "etherhiding"-techniek maakt het uitschakelen uiterst moeilijk, omdat de C2-gegevens onveranderlijk op openbare blockchains bestaan.

Geleverde malware-payloads

PolinRider levert een reeks kwaadaardige payloads, elk met specifieke mogelijkheden:

BeaverTail (JavaScript-gebaseerde dropper/infostealer)

De belangrijkste malwarefamilie die wordt geleverd is een nieuwe variant van BeaverTail, een bekende JavaScript-gebaseerde malware die geassocieerd wordt met DVK-operaties. Het fungeert als een first-stage dropper en credential-harvester .

DEV#POPPER.js (Remote Access Trojan)

De infectieketen levert een JavaScript-gebaseerde RAT die wordt gevolgd als DEV#POPPER.js. Het biedt volledige remote code execution (RCE), persistente toegang en de mogelijkheid om willekeurige opdrachten uit te voeren op de gecompromitteerde ontwikkelaarswerkstation. eSentire's Threat Response Unit (TRU) heeft het in het wild gedetecteerd, gericht op de sector Energie, Nutsbedrijven en Afval in februari 2026 .

OmniStealer (Information Stealer)

Ingezet naast DEV#POPPER, richt OmniStealer zich agressief op cryptocurrency wallet-referenties, privésleutels, in de browser opgeslagen referenties, sessietokens, API-sleutels en CI/CD-geheimen .

Andere payloads

• PylangGhost: Een Python-gebaseerde backdoor, de eerste keer dat deze malware werd verspreid via npm-pakketten
• Socket.io-backdoor: Zorgt voor permanente reverse-shell-communicatie met de infrastructuur van de aanvaller

Verband met Contagious Interview

PolinRider is een directe operationele evolutie van de Contagious Interview-campagne. Terwijl Contagious Interview historisch gezien vertrouwde op nep-sollicitatiegesprekken en social engineering om ontwikkelaars te verleiden getrojaniseerde projecten te installeren, vertegenwoordigt PolinRider een verschuiving naar volledig geautomatiseerde, social-engineering-vrije supply chain-compromittering .

Belangrijke verschillen en overlappingen:

• Beide campagnes delen dezelfde BeaverTail-malwarefamilie en overlappende C2-infrastructuur
• PolinRider/TasksJacker elimineert de sociale laag volledig — compromittering gebeurt automatisch via kwaadaardige pakketten en VS Code-automatisch uitgevoerde taken
• Beide gebruiken blockchain-gebaseerde payload-ophaling

Aanbevolen defensieve respons

Op basis van richtlijnen van OpenSourceMalware, Socket Security, Sonatype en andere onderzoekers, moeten organisaties de volgende stappen ondernemen:

Onmiddellijke acties

1. Behandel elke getroffen omgeving als volledig gecompromitteerd — ga uit van diefstal van inloggegevens en geheimen tot het tegendeel is bewezen
2. Verwijder getroffen pakketten uit package.json, go.mod en lockfiles
3. Controleer alle uitgaande netwerkactiviteit van ontwikkelaarswerkstations, vooral verbindingen met blockchain-nodes en onbekende IP's
4. Stop werk aan elke codebase die een getroffen pakket heeft uitgevoerd — keer terug naar commits van vóór het bekende compromitteringsvenster
5. Bewaar forensisch bewijsmateriaal (logs, schijfkopieën) vóór herstel

Code- en repository-opschoning

6. Scan alle postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs en vergelijkbare bestanden op toegevoegde geobfusceerde JavaScript
7. Inspecteer .vscode/-mappen op onverwachte tasks.json met automatische uitvoeringsconfiguraties
8. Controleer .woff2 en andere binaire asset-bestanden op ingebedde JavaScript
9. Audit de Git-geschiedenis op teruggedateerde commits van onbekende auteurs — vertrouw niet alleen op de zichtbare commit-geschiedenis

Lange-termijnbeveiliging

10. Implementeer egress-filtering op ontwikkelaarsnetwerken om uitgaande verbindingen te beperken
11. Gebruik pakketintegriteitsverificatie (lockfiles, checksum-validatie,

    npm audit

    , socket.dev-scanning) vóór installatie
12. Schakel VS Code automatische taken uit in ontwikkelomgevingen waar dit niet expliciet nodig is
13. Implementeer statische analyseregels — Datadog biedt een speciale PolinRider-detectieregel voor JavaScript/Node.js-codebeveiligingsscanning
14. Monitor op blockchain-gebaseerde C2-indicatoren — ongebruikelijke DNS-zoekopdrachten naar blockchain-API's of niet-standaard uitgaande verbindingen op ontwikkelaarsmachines
15. Herbouw vanuit bekende goede lockfiles en hergenereer alle geheimen, API-sleutels en cryptografische sleutels die mogelijk zijn blootgesteld op een getroffen werkstation