PolinRider: A Campanha de Ataque à Cadeia de Suprimentos Norte-Coreana que Comprometeu 1.951 Repositórios do GitHub

A campanha PolinRider representa um dos ataques à cadeia de suprimentos de código aberto mais agressivos e tecnicamente sofisticados já atribuídos à Coreia do Norte. Sinalizada pela primeira vez pelo OpenSourceMalware em março de 2026, ela se expandiu rapidamente por múltiplos ecossistemas de pacotes e ferramentas de desenvolvimento, comprometendo quase 2.000 repositórios do GitHub e usando tecnologia blockchain para um comando e controle (C2) resiliente ^MO.

Atribuição e Identidade da Campanha

O PolinRider é atribuído à República Popular Democrática da Coreia (RPDC) e está alinhado ao grupo Lazarus. Ele opera como uma subcampanha dentro do cluster mais amplo Contagious Interview (também rastreado como Famous Chollima) ^MT. A campanha se fundiu operacionalmente com a relacionada TasksJacker, que foca no abuso da automação de tarefas do VS Code ^OG.

Escopo e Dimensão

A escala do PolinRider é vasta e está crescendo rapidamente:

• 1.951 repositórios do GitHub comprometidos pertencentes a 1.047 proprietários únicos até o final de abril de 2026 ^IS
• O número de repositórios afetados quase triplicou nas cinco semanas seguintes à divulgação inicial ^OS
• Mais de 1.700 pacotes npm maliciosos foram publicados como parte da operação Contagious Interview ^TD

Ecossistemas Visados

A campanha se espalhou muito além do npm, seu vetor inicial:

• npm (Node.js): O alvo principal, com centenas de pacotes maliciosos, incluindo dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt e debug-glit ^T
• PyPI (Python): Pacotes Python distribuídos como parte da operação Contagious Interview ^D
• Go (Go Module Mirror): Pacotes Go maliciosos identificados pela Socket Security ^DT
• Packagist (PHP/Composer): Expandido para este ecossistema em julho de 2026 ^D
• Rust (crates.io): Visado na campanha mais ampla ^T
• GitHub Actions e extensões do VS Code: Comprometidos via arquivos .vscode/tasks.json maliciosos e pipelines de CI injetados ^DI

A campanha também comprometeu a biblioteca Axios do npm (versões 1.14.1 e 0.30.0) em abril de 2026 através de uma dependência maliciosa chamada plain-crypto-js, afetando cerca de 100 milhões de downloads semanais ^DC.

A Técnica de Infecção em Múltiplas Etapas

A cadeia de infecção do PolinRider é um processo cuidadosamente orquestrado em quatro etapas, projetado para maximizar o sigilo e minimizar a necessidade de interação da vítima.

Etapa 1: Loaders JavaScript Ofuscados em Arquivos de Configuração

Os atacantes anexam JavaScript altamente ofuscado ao final de arquivos de configuração legítimos, como postcss.config.mjs, tailwind.config.js, eslint.config.mjs e next.config.mjs ^FB. As linhas maliciosas são preenchidas com espaços em branco excessivos, empurrando o código para além da largura de visualização padrão do IDE, tornando-o invisível durante uma revisão de código casual ^DB.

Etapa 2: Métodos Sofisticados de Ocultação

O PolinRider emprega três técnicas principais de ocultação:

• Arquivos de fonte .woff2 falsos: O JavaScript ofuscado é disfarçado como um arquivo de fonte web, um formato binário que a maioria dos desenvolvedores nunca inspeciona ^TB
• Preenchimento com espaços em branco: Linhas executáveis são deslocadas para a extrema direita da janela de visualização ^DB
• Falsificação do histórico do Git (ForceMemo): Um módulo que reescreve o histórico do Git, datando commits maliciosos como se fossem de meses atrás, para parecerem manutenção de rotina de mantenedores legítimos ^OL

Etapa 3: Execução de Tarefas do VS Code (TasksJacker)

Arquivos .vscode/tasks.json maliciosos são injetados nos repositórios. Quando um desenvolvedor clona um repositório comprometido e o abre no VS Code, a tarefa é executada automaticamente sem qualquer interação adicional do usuário. Isso elimina completamente a etapa de engenharia social usada em campanhas anteriores do Contagious Interview ^DIT.

Etapa 4: Recuperação de Payload Baseada em Blockchain (C2)

O loader JavaScript desofuscado recupera seu payload de próximo estágio lendo dados criptografados embutidos em transações de blockchain de criptomoedas. A campanha usa as redes TRON, Aptos e BSC (BNB Smart Chain) como canais de C2 do tipo "dead-drop" ^DIB. Esta técnica, conhecida como "etherhiding", torna a remoção extremamente difícil, pois os dados do C2 existem imutavelmente em blockchains públicas.

Payloads de Malware Entregues

O PolinRider entrega um conjunto de payloads maliciosos, cada um com capacidades específicas:

BeaverTail (Dropper/Ladrão de Informações Baseado em JavaScript)

A principal família de malware entregue é uma nova variante do BeaverTail, um malware JavaScript conhecido associado a operações da RPDC. Ele atua como um dropper de primeiro estágio e coletor de credenciais ^TF.

DEV#POPPER.js (Trojan de Acesso Remoto)

A cadeia de infecção entrega um RAT baseado em JavaScript rastreado como DEV#POPPER.js. Ele fornece capacidade total de execução remota de código (RCE), acesso persistente e a capacidade de executar comandos arbitrários na estação de trabalho do desenvolvedor comprometida. A Unidade de Resposta a Ameaças (TRU) da eSentire o detectou em atividade no setor de Energia, Utilidades e Resíduos em fevereiro de 2026 ^IE.

OmniStealer (Ladrão de Informações)

Implantado junto com o DEV#POPPER, o OmniStealer visa agressivamente credenciais de carteiras de criptomoedas, chaves privadas, credenciais armazenadas em navegadores, tokens de sessão, chaves de API e segredos de CI/CD ^IR.

Outros Payloads

• PylangGhost: Um backdoor baseado em Python, marcando a primeira vez que este malware foi propagado via pacotes npm ^T
• Backdoor Socket.io: Estabelece comunicação persistente de shell reverso com a infraestrutura do atacante ^T

Conexão com o Contagious Interview

O PolinRider é uma evolução operacional direta da campanha Contagious Interview. Enquanto o Contagious Interview historicamente dependia de iscas de entrevistas de emprego falsas e engenharia social para enganar desenvolvedores a instalarem projetos trojanizados, o PolinRider representa uma mudança para o comprometimento de cadeia de suprimentos totalmente automatizado e livre de engenharia social ^MTI.

As principais diferenças e sobreposições incluem:

• Ambas as campanhas compartilham a mesma família de malware BeaverTail e infraestrutura de C2 sobreposta ^IC
• O PolinRider/TasksJacker elimina completamente a camada social — o comprometimento acontece automaticamente via pacotes maliciosos e tarefas de execução automática do VS Code
• Ambas usam recuperação de payload baseada em blockchain ^IC

Resposta Defensiva Recomendada

Com base em orientações do OpenSourceMalware, Socket Security, Sonatype e outros pesquisadores, as organizações devem tomar as seguintes medidas:

Ações Imediatas

1. Trate qualquer ambiente afetado como totalmente comprometido — presuma roubo de credenciais e segredos até prova em contrário ^IS
2. Remova os pacotes afetados de package.json, go.mod e arquivos de bloqueio (lockfiles) ^SG
3. Revise toda a atividade de rede de saída das estações de trabalho dos desenvolvedores, especialmente conexões com nós de blockchain e IPs desconhecidos ^SG
4. Pause o trabalho em qualquer base de código que executou um pacote afetado — reverta para commits anteriores à janela de comprometimento conhecida ^S
5. Preserve evidências forenses (logs, imagens de disco) antes da remediação ^I

Limpeza de Código e Repositórios

6. Varra todos os arquivos postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs e similares em busca de JavaScript ofuscado anexado ^FB
7. Inspecione os diretórios .vscode/ em busca de tasks.json inesperados com configurações de execução automática ^DI
8. Revise os arquivos .woff2 e outros ativos binários em busca de JavaScript embutido ^TB
9. Audite o histórico do Git em busca de commits com datas retroativas de autores desconhecidos — não confie apenas no histórico visível de commits ^O

Fortalecimento de Longo Prazo

10. Implemente filtragem de saída (egress filtering) nas redes de desenvolvedores para restringir conexões de saída ^G
11. Use verificação de integridade de pacotes (lockfiles, validação de soma de verificação, npm audit, varredura socket.dev) antes da instalação ^G
12. Desabilite tarefas de execução automática do VS Code em ambientes de desenvolvimento onde não forem explicitamente necessárias ^DI
13. Implemente regras de análise estática — a Datadog oferece uma regra de detecção PolinRider dedicada para varredura de segurança de código JavaScript/Node.js ^D
14. Monitore indicadores de C2 baseados em blockchain — consultas DNS incomuns para APIs de blockchain ou conexões de saída não padronizadas em máquinas de desenvolvedores ^I
15. Reconstrua a partir de lockfiles conhecidos como limpos e re-rote todos os segredos, chaves de API e chaves criptográficas que possam ter sido expostos em qualquer estação de trabalho afetada ^IS