PolinRider: Nordkoreas forsyningskjedeangrep mot utviklere har nådd et kritisk nivå

PolinRider-kampanjen er et av de mest aggressive og teknisk sofistikerte angrepene på åpen kildekode noensinne, tilskrevet Nord-Korea. Den ble først flagget av OpenSourceMalware i mars 2026 og har raskt ekspandert over flere pakkeøkosystemer og utviklerverktøykjeder. Angrepet har kompromittert nesten 2000 GitHub-repositorier og utnytter blokkjede-teknologi for å gjøre kommandokanalen (C2) svært motstandsdyktig mot nedstenging ^MO.

Hvem står bak – og hva er PolinRider egentlig?

PolinRider tilskrives Den demokratiske folkerepublikken Korea (DPRK) og er knyttet til den beryktede Lazarus-gruppen. Det er en underkampanje innenfor den bredere Contagious Interview-klyngen (også kjent som Famous Chollima) ^MT. Kampanjen har operativt smeltet sammen med den beslektede TasksJacker-kampanjen, som utnytter VS Codes automatiske oppgavekjøring ^OG.

Omfang – voldsom vekst på kort tid

PolinRider har et enormt omfang som fortsetter å vokse raskt:

• 1.951 kompromitterte GitHub-repositorier tilhørende 1.047 unike eiere per slutten av april 2026 ^IS
• Antallet berørte repositorier er omtrent tredoblet i løpet av de fem ukene etter den første avsløringen ^OS
• Mer enn 1.700 ondsinnede npm-pakker er publisert som en del av den bredere Contagious Interview-operasjonen ^TD

Hvilke økosystemer er rammet?

Kampanjen har spredt seg langt utover npm, som var den opprinnelige angrepsvektoren:

• npm (Node.js): Hovedmålet, med hundrevis av ondsinnede pakker som dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt og debug-glit ^T
• PyPI (Python): Python-pakker distribuert som en del av Contagious Interview-operasjonen ^D
• Go (Go Module Mirror): Ondsinnede Go-pakker identifisert av Socket Security ^DT
• Packagist (PHP/Composer): Utvidet til dette økosystemet i juli 2026 ^D
• Rust (crates.io): Målrettet i den bredere kampanjen ^T
• GitHub Actions og VS Code-utvidelser: Kompromittert via ondsinnede .vscode/tasks.json-filer og infiserte CI-pipelines ^DI

Kampanjen kompromitterte også den mye brukte Axios npm-biblioteket (versjon 1.14.1 og 0.30.0) i april 2026 via en ondsinnet avhengighet kalt plain-crypto-js, som påvirket omtrent 100 millioner ukentlige nedlastninger ^DC.

Fire-trinns infeksjonsmetode – usynlig for det blotte øye

PolinRider-infeksjonskjeden er nøye orkestrert i fire stadier, designet for maksimal skjult operasjon.

Stadie 1: Obfuskert JavaScript i konfigurasjonsfiler

Angriperne legger sterkt obfuskert JavaScript til slutten av legitime utviklerkonfigurasjonsfiler som postcss.config.mjs, tailwind.config.js, eslint.config.mjs og next.config.mjs ^FB. De ondsinnede linjene er polstret med store mengder mellomrom, noe som skyver koden utenfor standard IDE-visningsbredde og gjør den usynlig under vanlig kodegjennomgang ^DB.

Stadie 2: Avanserte skjulemetoder

PolinRider bruker tre primære skjuleteknikker:

• Falske .woff2-fontfiler: Det obfuskerte JavaScriptet forkles som en nettfontfil – et binært format de fleste utviklere aldri inspiserer ^TB
• Mellomromspadding: Kjørbare linjer skyldes langt til høyre utenfor synlig visningsområde ^DB
• Git-historikkforfalskning (ForceMemo): En modul som omskriver Git-historikken og tilbakedaterer ondsinnede commits med flere måneder, slik at de fremstår som rutinemessig vedlikehold fra legitime bidragsytere ^OL

Stadie 3: VS Code-oppgavekjøring (TasksJacker)

Ondsinnede .vscode/tasks.json-filer injiseres i repositorier. Når en utvikler kloner et kompromittert repo og åpner det i VS Code, kjører oppgaven automatisk uten ytterligere brukerinteraksjon. Dette omgår sosial manipulasjon – et stort steg opp fra tidligere Contagious Interview-kampanjer ^DIT.

Stadie 4: Blokkjede-basert nyttelasthenting (C2)

Den deobfuskerte JavaScript-lasteren henter neste trinns nyttelast ved å lese krypterte data innebygd i kryptovalutatransaksjoner. Kampanjen bruker TRON, Aptos og BSC (BNB Smart Chain) som «dead-drop»-C2-kanaler ^DIB. Denne «etherhiding»-teknikken gjør nedstigning ekstremt vanskelig, siden C2-dataene ligger uforanderlig på offentlige blokkjeder.

Skadevare som leveres

PolinRider leverer en suite av ondsinnede nyttelaster:

BeaverTail (JavaScript-basert dropper/infostealer)

Den primære skadevarefamilien er en ny variant av BeaverTail, kjent JavaScript-basert skadevare knyttet til DPRK-operasjoner. Den fungerer som en førstetrinns dropper og passordhøster ^TF.

DEV#POPPER.js (RAT – eksternt tilgangstrojaner)

Infeksjonskjeden leverer en JavaScript-basert RAT sporet som DEV#POPPER.js. Den gir full ekstern kodekjøring (RCE), vedvarende tilgang og evnen til å kjøre vilkårlige kommandoer på den kompromitterte utviklerens arbeidsstasjon. eSentires Threat Response Unit (TRU) oppdaget den i drift mot energi-, forsynings- og avfallssektoren i februar 2026 ^IE.

OmniStealer (informasjonsstjeler)

OmniStealer målretter aggressivt:

• Påloggingsinformasjon for kryptovaluta-lommebøker og private nøkler
• Nettleserlagrede legitimasjoner
• Sesjonstokener og API-nøkler
• Miljøvariabler og CI/CD-hemmeligheter ^IR

Andre nyttelaster

• PylangGhost: En Python-basert bakdør – første gang denne skadevaren ble spredd via npm-pakker ^T
• Socket.io-bakdør: Etablerer vedvarende reverse-shell-kommunikasjon med angriperinfrastruktur ^T

Koblingen til Contagious Interview

PolinRider er en direkte operasjonell videreutvikling av Contagious Interview-kampanjen. Mens Contagious Interview historisk har stolt på falske jobbintervjuer og sosial manipulasjon for å lure utviklere til å installere trojaniserte prosjekter, representerer PolinRider et skifte mot fullautomatisert, sosial-manipulasjonsfri forsyningskjedekompromittering ^MTI.

Viktige forskjeller og overlappinger:

• Begge kampanjene deler samme BeaverTail-skadevarefamilie og overlappende C2-infrastruktur ^IC
• PolinRider/TasksJacker eliminerer det sosiale laget fullstendig – kompromittering skjer automatisk via ondsinnede pakker og VS Codes automatiske oppgavekjøring
• Begge bruker blokkjede-basert nyttelasthenting ^IC

Anbefalt forsvar

Basert på veiledning fra OpenSourceMalware, Socket Security, Sonatype og andre forskere, bør organisasjoner ta følgende skritt:

Umiddelbare tiltak

1. Behandle ethvert berørt miljø som fullstendig kompromittert – anta at legitimasjon og hemmeligheter er stjålet inntil det motsatte er bevist ^IS
2. Fjern berørte pakker fra package.json, go.mod og låsefiler ^SG
3. Gjennomgå all utgående nettverksaktivitet fra utviklerarbeidsstasjoner, spesielt tilkoblinger til blokkjedenoder og ukjente IP-adresser ^SG
4. Stanse arbeidet på kodebaser som har kjørt en berørt pakke – gå tilbake til commits fra før kjent kompromitteringsvindu ^S
5. Ta vare på rettsmedisinske bevis (logger, diskbilder) før opprydding ^I

Kode- og repository-opprydding

6. Skann alle postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs og lignende filer for påført obfuskert JavaScript ^FB
7. Inspiser .vscode/-kataloger for uventede tasks.json-filer med automatisk oppkjøring ^DI
8. Gjennomgå .woff2- og andre binære ressursfiler for innebygget JavaScript ^TB
9. Revidér Git-historikken for tilbakedaterte commits fra ukjente forfattere – stol ikke på synlig commit-historikk alene ^O

Langsiktig sikring

10. Implementer egressfiltrering på utviklernettverk for å begrense utgående tilkoblinger ^G
11. Bruk pakkeintegritetsverifisering (låsefiler, sjekksumvalidering, npm audit, socket.dev-skanning) før installasjon ^G
12. Deaktiver VS Codes automatiske oppgavekjøring i utviklingsmiljøer der det ikke er eksplisitt nødvendig ^DI
13. Distribuer statiske analyseregler – Datadog tilbyr en dedikert PolinRider-deteksjonsregel for JavaScript/Node.js-kodesikkerhetsskanning ^D
14. Overvåk for blokkjede-baserte C2-indikatorer – uvanlige DNS-oppslag til blokkjede-APIer eller ikke-standard utgående tilkoblinger på utviklermaskiner ^I
15. Bygg fra kjente-gode låsefiler og roter alle hemmeligheter, API-nøkler og kryptografiske nøkler som kan ha blitt eksponert på en berørt arbeidsstasjon ^IS