PolinRider: największy atak cybernetyczny na open source, który omija socjotechnikę

Kampania PolinRider to jeden z najbardziej agresywnych i zaawansowanych technicznie ataków na łańcuch dostaw oprogramowania open source, jaki kiedykolwiek przypisano Korei Północnej. Po raz pierwszy zgłoszona przez OpenSourceMalware w marcu 2026 roku, szybko rozprzestrzeniła się na wiele ekosystemów pakietów i narzędzi programistycznych, kompromitując prawie 2000 repozytoriów GitHub i wykorzystując technologię blockchain do odpornego na blokowanie kanału dowodzenia (C2) .

Atrybucja i tożsamość kampanii

PolinRider jest przypisywany Koreańskiej Republice Ludowo-Demokratycznej (KRLD) i powiązany z grupą Lazarus. Działa jako podkampania w ramach szerszego klastra Contagious Interview (znanego również jako Famous Chollima) . Kampania połączyła się operacyjnie z pokrewną kampanią TasksJacker, która koncentruje się na nadużywaniu automatyzacji zadań VS Code .

Zasięg i skala

Skala PolinRider jest ogromna i szybko rośnie:

• 1951 skompromitowanych repozytoriów GitHub należących do 1047 unikalnych właścicieli według stanu na koniec kwietnia 2026 roku
• Liczba dotkniętych repozytoriów potroiła się w ciągu pięciu tygodni od pierwszego ujawnienia
• Ponad 1700 złośliwych pakietów npm zostało opublikowanych w ramach szerszej operacji Contagious Interview

Atakowane ekosystemy

Kampania rozprzestrzeniła się daleko poza npm, swój początkowy wektor:

• npm (Node.js): Główny cel, setki złośliwych pakietów, w tym dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt i debug-glit
• PyPI (Python): Pakiety Pythona dystrybuowane w ramach operacji Contagious Interview
• Go (Go Module Mirror): Złośliwe pakiety Go zidentyfikowane przez Socket Security
• Packagist (PHP/Composer): Ekspansja na ten ekosystem do lipca 2026 roku
• Rust (crates.io): Cel w szerszej kampanii
• GitHub Actions i rozszerzenia VS Code: Kompromitowane za pomocą złośliwych plików .vscode/tasks.json i wstrzykniętych potoków CI

Kampania skompromitowała również powszechnie używaną bibliotekę npm Axios (wersje 1.14.1 i 0.30.0) w kwietniu 2026 roku za pośrednictwem złośliwej zależności o nazwie plain-crypto-js, dotykając około 100 milionów tygodniowych pobrań .

Wieloetapowa technika infekcji

Łańcuch infekcji PolinRider to starannie zaplanowany, czteroetapowy proces zaprojektowany, aby zmaksymalizować ukrycie i zminimalizować potrzebę interakcji ofiary.

Etap 1: Zaciemnione moduły ładujące JavaScript w plikach konfiguracyjnych

Atakujący dołączają silnie zaciemniony JavaScript na końcu legalnych plików konfiguracyjnych programistów, takich jak postcss.config.mjs, tailwind.config.js, eslint.config.mjs i next.config.mjs . Złośliwe wiersze są dopełniane nadmiarem białych znaków, wypychając kod poza domyślną szerokość wyświetlania IDE, co czyni go niewidocznym podczas pobieżnego przeglądu kodu .

Etap 2: Zaawansowane metody ukrywania

PolinRider stosuje trzy podstawowe techniki ukrywania:

• Fałszywe pliki czcionek .woff2: Zaciemniony JavaScript jest maskowany jako plik czcionki internetowej – format binarny, którego większość programistów nigdy nie sprawdza
• Dopełnianie białymi znakami: Linie wykonywalne są dopełniane daleko w prawo poza widoczny obszar
• Fałszowanie historii Git (ForceMemo): Moduł przepisujący historię Git, cofający datę złośliwych commitów o miesiące, aby wyglądały jak rutynowa konserwacja od legalnych opiekunów

Etap 3: Wykonywanie zadań VS Code (TasksJacker)

Złośliwe pliki .vscode/tasks.json są wstrzykiwane do repozytoriów. Gdy programista klonuje skompromitowane repozytorium i otwiera je w VS Code, zadanie wykonuje się automatycznie bez żadnej interakcji użytkownika. To całkowicie omija krok socjotechniki stosowany we wcześniejszych kampaniach Contagious Interview .

Etap 4: Pobieranie ładunku na bazie blockchainu (C2)

Zdeobfuskowany moduł ładujący JavaScript pobiera ładunek następnego etapu, odczytując zaszyfrowane dane osadzone w transakcjach blockchain kryptowalut. Kampania wykorzystuje sieci blockchain TRON, Aptos i BSC (BNB Smart Chain) jako martwe kanały C2 . Ta technika „etherhidingu” sprawia, że usunięcie jest niezwykle trudne, ponieważ dane C2 istnieją niezmiennie w publicznych blockchainach.

Dostarczane złośliwe oprogramowanie

PolinRider dostarcza zestaw złośliwych ładunków, każdy o określonych możliwościach:

BeaverTail (program ładujący/kradnący dane w JavaScript)

Główna rodzina złośliwego oprogramowania to nowy wariant BeaverTail, znanego złośliwego oprogramowania JavaScript powiązanego z operacjami KRLD. Działa jako program ładujący pierwszego etapu i narzędzie do kradzieży danych uwierzytelniających .

DEV#POPPER.js (trojan zdalnego dostępu)

Łańcuch infekcji dostarcza trojana JavaScript śledzonego jako DEV#POPPER.js. Zapewnia pełne zdalne wykonywanie kodu (RCE), trwały dostęp i możliwość wykonywania dowolnych poleceń na skompromitowanej stacji roboczej programisty. Zespół Reagowania na Zagrożenia (TRU) eSentire wykrył go w środowisku produkcyjnym atakującym sektor energetyczny, użyteczności publicznej i odpadowy w lutym 2026 roku .

OmniStealer (kradzież informacji)

Wdrożony wraz z DEV#POPPER, OmniStealer agresywnie celuje w dane uwierzytelniające portfeli kryptowalut, klucze prywatne, dane uwierzytelniające przechowywane w przeglądarkach, tokeny sesji, klucze API i sekrety CI/CD .

Inne ładunki

• PylangGhost: Backdoor w Pythonie, oznaczający pierwszy przypadek propagacji tego złośliwego oprogramowania za pośrednictwem pakietów npm
• Backdoor Socket.io: Ustanawia trwałą komunikację zwrotną powłoki z infrastrukturą atakujących

Związek z Contagious Interview

PolinRider to bezpośrednia ewolucja operacyjna kampanii Contagious Interview. Podczas gdy Contagious Interview historycznie polegał na fałszywych ofertach pracy i socjotechnice, aby nakłonić programistów do instalowania trojanizowanych projektów, PolinRider oznacza przejście w kierunku w pełni zautomatyzowanej, wolnej od socjotechniki kompromitacji łańcucha dostaw .

Kluczowe różnice i podobieństwa:

• Obie kampanie dzielą tę samą rodzinę złośliwego oprogramowania BeaverTail i nakładającą się infrastrukturę C2
• PolinRider/TasksJacker całkowicie eliminuje warstwę społeczną – kompromitacja następuje automatycznie za pośrednictwem złośliwych pakietów i automatycznie uruchamianych zadań VS Code
• Obie wykorzystują pobieranie ładunku oparte na blockchainie

Zalecana odpowiedź obronna

W oparciu o wytyczne OpenSourceMalware, Socket Security, Sonatype i innych badaczy, organizacje powinny podjąć następujące kroki:

Natychmiastowe działania

1. Traktuj każde dotknięte środowisko jako w pełni skompromitowane – zakładaj kradzież danych uwierzytelniających i sekretów, dopóki nie zostanie udowodnione inaczej
2. Usuń dotknięte pakiety z package.json, go.mod i plików blokad
3. Przejrzyj całą wychodzącą aktywność sieciową ze stacji roboczych programistów, szczególnie połączenia z węzłami blockchain i nieznanymi adresami IP
4. Wstrzymaj pracę nad dowolną bazą kodu, która uruchomiła dotknięty pakiet – przywróć do commitów sprzed znanego okna kompromitacji
5. Zachowaj dowody kryminalistyczne (logi, obrazy dysków) przed naprawą

Czyszczenie kodu i repozytorium

6. Przeskanuj wszystkie pliki postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs i podobne pod kątem dołączonego zaciemnionego JavaScriptu
7. Sprawdź katalogi .vscode/ pod kątem nieoczekiwanych plików tasks.json z konfiguracjami automatycznego uruchamiania
8. Przejrzyj pliki .woff2 i inne binarne pliki zasobów pod kątem osadzonego JavaScriptu
9. Przeprowadź audyt historii Git pod kątem commitów z cofniętą datą od nieznanych autorów – nie ufaj samej widocznej historii commitów

Długoterminowe wzmacnianie

10. Wdróż filtrowanie ruchu wychodzącego w sieciach deweloperskich, aby ograniczyć połączenia wychodzące
11. Używaj weryfikacji integralności pakietów (pliki blokad, walidacja sum kontrolnych,

    npm audit

    , skanowanie socket.dev) przed instalacją
12. Wyłącz automatyczne uruchamianie zadań VS Code w środowiskach programistycznych, gdzie nie jest to wyraźnie potrzebne
13. Wdróż reguły analizy statycznej – Datadog oferuje dedykowaną regułę wykrywania PolinRider dla skanowania bezpieczeństwa kodu JavaScript/Node.js
14. Monitoruj wskaźniki C2 oparte na blockchainie – nietypowe zapytania DNS do interfejsów API blockchain lub niestandardowe połączenia wychodzące na komputerach programistów
15. Przebuduj z znanych-dobrych plików blokad i ponownie wygeneruj wszystkie sekrety, klucze API i klucze kryptograficzne, które mogły zostać ujawnione na dowolnej dotkniętej stacji roboczej