PolinRider: A Campanha de Ataque à Cadeia de Suprimentos Norte-Coreana que Comprometeu 1.951 Repositórios do GitHub

Escopo e Dimensão

A escala do PolinRider é vasta e está crescendo rapidamente:

• 1.951 repositórios do GitHub comprometidos pertencentes a 1.047 proprietários únicos até o final de abril de 2026
• O número de repositórios afetados quase triplicou nas cinco semanas seguintes à divulgação inicial
• Mais de 1.700 pacotes npm maliciosos foram publicados como parte da operação Contagious Interview

Ecossistemas Visados

A campanha se espalhou muito além do npm, seu vetor inicial:

• npm (Node.js): O alvo principal, com centenas de pacotes maliciosos, incluindo dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt e debug-glit
• PyPI (Python): Pacotes Python distribuídos como parte da operação Contagious Interview
• Go (Go Module Mirror): Pacotes Go maliciosos identificados pela Socket Security
• Packagist (PHP/Composer): Expandido para este ecossistema em julho de 2026
• Rust (crates.io): Visado na campanha mais ampla
• GitHub Actions e extensões do VS Code: Comprometidos via arquivos .vscode/tasks.json maliciosos e pipelines de CI injetados

A campanha também comprometeu a biblioteca Axios do npm (versões 1.14.1 e 0.30.0) em abril de 2026 através de uma dependência maliciosa chamada plain-crypto-js, afetando cerca de 100 milhões de downloads semanais .

A Técnica de Infecção em Múltiplas Etapas

A cadeia de infecção do PolinRider é um processo cuidadosamente orquestrado em quatro etapas, projetado para maximizar o sigilo e minimizar a necessidade de interação da vítima.

Etapa 1: Loaders JavaScript Ofuscados em Arquivos de Configuração

Os atacantes anexam JavaScript altamente ofuscado ao final de arquivos de configuração legítimos, como postcss.config.mjs, tailwind.config.js, eslint.config.mjs e next.config.mjs . As linhas maliciosas são preenchidas com espaços em branco excessivos, empurrando o código para além da largura de visualização padrão do IDE, tornando-o invisível durante uma revisão de código casual .

Etapa 2: Métodos Sofisticados de Ocultação

O PolinRider emprega três técnicas principais de ocultação:

• Arquivos de fonte .woff2 falsos: O JavaScript ofuscado é disfarçado como um arquivo de fonte web, um formato binário que a maioria dos desenvolvedores nunca inspeciona
• Preenchimento com espaços em branco: Linhas executáveis são deslocadas para a extrema direita da janela de visualização
• Falsificação do histórico do Git (ForceMemo): Um módulo que reescreve o histórico do Git, datando commits maliciosos como se fossem de meses atrás, para parecerem manutenção de rotina de mantenedores legítimos

Etapa 3: Execução de Tarefas do VS Code (TasksJacker)

Arquivos .vscode/tasks.json maliciosos são injetados nos repositórios. Quando um desenvolvedor clona um repositório comprometido e o abre no VS Code, a tarefa é executada automaticamente sem qualquer interação adicional do usuário. Isso elimina completamente a etapa de engenharia social usada em campanhas anteriores do Contagious Interview .

Etapa 4: Recuperação de Payload Baseada em Blockchain (C2)

O loader JavaScript desofuscado recupera seu payload de próximo estágio lendo dados criptografados embutidos em transações de blockchain de criptomoedas. A campanha usa as redes TRON, Aptos e BSC (BNB Smart Chain) como canais de C2 do tipo "dead-drop" . Esta técnica, conhecida como "etherhiding", torna a remoção extremamente difícil, pois os dados do C2 existem imutavelmente em blockchains públicas.

Payloads de Malware Entregues

O PolinRider entrega um conjunto de payloads maliciosos, cada um com capacidades específicas:

BeaverTail (Dropper/Ladrão de Informações Baseado em JavaScript)

A principal família de malware entregue é uma nova variante do BeaverTail, um malware JavaScript conhecido associado a operações da RPDC. Ele atua como um dropper de primeiro estágio e coletor de credenciais .

DEV#POPPER.js (Trojan de Acesso Remoto)

A cadeia de infecção entrega um RAT baseado em JavaScript rastreado como DEV#POPPER.js. Ele fornece capacidade total de execução remota de código (RCE), acesso persistente e a capacidade de executar comandos arbitrários na estação de trabalho do desenvolvedor comprometida. A Unidade de Resposta a Ameaças (TRU) da eSentire o detectou em atividade no setor de Energia, Utilidades e Resíduos em fevereiro de 2026 .

OmniStealer (Ladrão de Informações)

Implantado junto com o DEV#POPPER, o OmniStealer visa agressivamente credenciais de carteiras de criptomoedas, chaves privadas, credenciais armazenadas em navegadores, tokens de sessão, chaves de API e segredos de CI/CD .

Outros Payloads

• PylangGhost: Um backdoor baseado em Python, marcando a primeira vez que este malware foi propagado via pacotes npm
• Backdoor Socket.io: Estabelece comunicação persistente de shell reverso com a infraestrutura do atacante

Conexão com o Contagious Interview

O PolinRider é uma evolução operacional direta da campanha Contagious Interview. Enquanto o Contagious Interview historicamente dependia de iscas de entrevistas de emprego falsas e engenharia social para enganar desenvolvedores a instalarem projetos trojanizados, o PolinRider representa uma mudança para o comprometimento de cadeia de suprimentos totalmente automatizado e livre de engenharia social .

As principais diferenças e sobreposições incluem:

• Ambas as campanhas compartilham a mesma família de malware BeaverTail e infraestrutura de C2 sobreposta
• O PolinRider/TasksJacker elimina completamente a camada social — o comprometimento acontece automaticamente via pacotes maliciosos e tarefas de execução automática do VS Code
• Ambas usam recuperação de payload baseada em blockchain

Resposta Defensiva Recomendada

Com base em orientações do OpenSourceMalware, Socket Security, Sonatype e outros pesquisadores, as organizações devem tomar as seguintes medidas:

Ações Imediatas

1. Trate qualquer ambiente afetado como totalmente comprometido — presuma roubo de credenciais e segredos até prova em contrário
2. Remova os pacotes afetados de package.json, go.mod e arquivos de bloqueio (lockfiles)
3. Revise toda a atividade de rede de saída das estações de trabalho dos desenvolvedores, especialmente conexões com nós de blockchain e IPs desconhecidos
4. Pause o trabalho em qualquer base de código que executou um pacote afetado — reverta para commits anteriores à janela de comprometimento conhecida
5. Preserve evidências forenses (logs, imagens de disco) antes da remediação

Limpeza de Código e Repositórios

6. Varra todos os arquivos postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs e similares em busca de JavaScript ofuscado anexado
7. Inspecione os diretórios .vscode/ em busca de tasks.json inesperados com configurações de execução automática
8. Revise os arquivos .woff2 e outros ativos binários em busca de JavaScript embutido
9. Audite o histórico do Git em busca de commits com datas retroativas de autores desconhecidos — não confie apenas no histórico visível de commits

Fortalecimento de Longo Prazo

10. Implemente filtragem de saída (egress filtering) nas redes de desenvolvedores para restringir conexões de saída
11. Use verificação de integridade de pacotes (lockfiles, validação de soma de verificação,

    npm audit

    , varredura socket.dev) antes da instalação
12. Desabilite tarefas de execução automática do VS Code em ambientes de desenvolvimento onde não forem explicitamente necessárias
13. Implemente regras de análise estática — a Datadog oferece uma regra de detecção PolinRider dedicada para varredura de segurança de código JavaScript/Node.js
14. Monitore indicadores de C2 baseados em blockchain — consultas DNS incomuns para APIs de blockchain ou conexões de saída não padronizadas em máquinas de desenvolvedores
15. Reconstrua a partir de lockfiles conhecidos como limpos e re-rote todos os segredos, chaves de API e chaves criptográficas que possam ter sido expostos em qualquer estação de trabalho afetada