PolinRider: крупнейшая атака на открытый код со стороны КНДР

Кампания PolinRider — одна из самых агрессивных и технически сложных атак на цепочку поставок открытого кода, когда-либо приписываемых Северной Корее. Впервые обнаруженная OpenSourceMalware в марте 2026 года, она быстро распространилась на несколько экосистем пакетов и инструментов разработчика, скомпрометировав почти 2 000 репозиториев GitHub и используя технологию блокчейн для устойчивости командных центров (C2) .

Атрибуция и идентификация кампании

PolinRider приписывается Корейской Народно-Демократической Республике (КНДР) и связана с группой Lazarus. Она действует как подкампания в рамках более широкого кластера Contagious Interview (также известного как Famous Chollima) . Кампания операционно слилась с родственной кампанией TasksJacker, которая фокусируется на злоупотреблении автоматизацией задач в VS Code .

Масштаб и охват

Масштаб PolinRider огромен и быстро растет:

• 1 951 скомпрометированный репозиторий GitHub, принадлежащий 1 047 уникальным владельцам по состоянию на конец апреля 2026 года
• Количество затронутых репозиториев примерно утроилось за пять недель после первоначального раскрытия
• В рамках более широкой операции Contagious Interview опубликовано более 1 700 вредоносных пакетов npm

Целевые экосистемы

Кампания распространилась далеко за пределы npm, своего первоначального вектора:

• npm (Node.js): Основная цель; сотни вредоносных пакетов, включая dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt и debug-glit
• PyPI (Python): Пакеты Python, распространяемые в рамках операции Contagious Interview
• Go (Go Module Mirror): Вредоносные пакеты Go, обнаруженные Socket Security
• Packagist (PHP/Composer): Расширение на эту экосистему произошло к июлю 2026 года
• Rust (crates.io): Целевая экосистема в более широкой кампании
• GitHub Actions и расширения VS Code: Скомпрометированы через вредоносные файлы .vscode/tasks.json и внедренные конвейеры CI

Кампания также скомпрометировала широко используемую библиотеку npm Axios (версии 1.14.1 и 0.30.0) в апреле 2026 года через вредоносную зависимость plain-crypto-js, затронув примерно 100 миллионов еженедельных загрузок .

Многоступенчатая техника заражения

Цепочка заражения PolinRider — тщательно организованный четырехступенчатый процесс, разработанный для максимальной скрытности и минимального взаимодействия с жертвой.

Этап 1: Обфусцированные загрузчики JavaScript в конфигурационных файлах

Злоумышленники добавляют сильно обфусцированный JavaScript в конец легитимных конфигурационных файлов разработчика, таких как postcss.config.mjs, tailwind.config.js, eslint.config.mjs и next.config.mjs . Вредоносные строки дополняются избыточными пробелами, что выталкивает код за пределы стандартной ширины просмотра IDE и делает его невидимым при беглом просмотре кода .

Этап 2: Сложные методы сокрытия

PolinRider использует три основных метода сокрытия:

• Поддельные файлы шрифтов .woff2: Обфусцированный JavaScript маскируется под файл веб-шрифта — бинарный формат, который большинство разработчиков никогда не проверяют
• Заполнение пробелами: Исполняемые строки сдвигаются далеко вправо от видимой области просмотра
• Фальсификация истории Git (ForceMemo): Модуль, который переписывает историю Git, датируя вредоносные коммиты на месяцы назад, чтобы они выглядели как рутинное обслуживание от легитимных мейнтейнеров

Этап 3: Выполнение задач VS Code (TasksJacker)

Вредоносные файлы .vscode/tasks.json внедряются в репозитории. Когда разработчик клонирует скомпрометированный репозиторий и открывает его в VS Code, задача выполняется автоматически без какого-либо дальнейшего взаимодействия с пользователем. Это полностью обходит этап социальной инженерии, использовавшийся в более ранних кампаниях Contagious Interview .

Этап 4: Получение полезной нагрузки на основе блокчейна (C2)

Деобфусцированный JavaScript-загрузчик получает полезную нагрузку следующего этапа, считывая зашифрованные данные, встроенные в транзакции криптовалютного блокчейна. Кампания использует блокчейн-сети TRON, Aptos и BSC (BNB Smart Chain) в качестве каналов C2 типа "мертвая капля" . Эта техника "etherhiding" чрезвычайно затрудняет удаление, так как данные C2 существуют неизменно в публичных блокчейнах.

Доставляемые вредоносные нагрузки

PolinRider доставляет набор вредоносных нагрузок, каждая из которых имеет определенные возможности:

BeaverTail (JavaScript-загрузчик/стилер информации)

Основное семейство вредоносных программ — новая версия BeaverTail, известного JavaScript-вредоноса, связанного с операциями КНДР. Он действует как загрузчик первой ступени и сборщик учетных данных .

DEV#POPPER.js (троян удаленного доступа)

Цепочка заражения доставляет JavaScript-троян удаленного доступа (RAT), отслеживаемый как DEV#POPPER.js. Он обеспечивает полное удаленное выполнение кода (RCE), постоянный доступ и возможность выполнять произвольные команды на скомпрометированной рабочей станции разработчика. Подразделение реагирования на угрозы (TRU) компании eSentire обнаружило его в реальной атаке на сектор энергетики, коммунальных услуг и отходов в феврале 2026 года .

OmniStealer (стилер информации)

Развернутый вместе с DEV#POPPER, OmniStealer агрессивно нацелен на учетные данные криптовалютных кошельков, закрытые ключи, сохраненные в браузере учетные данные, токены сессий, ключи API и секреты CI/CD .

Другие нагрузки

• PylangGhost: Бэкдор на Python; впервые это вредоносное ПО было распространено через пакеты npm
• Бэкдор на Socket.io: Устанавливает постоянную reverse-shell связь с инфраструктурой злоумышленника

Связь с Contagious Interview

PolinRider является прямым операционным развитием кампании Contagious Interview. В то время как Contagious Interview исторически полагался на фиктивные предложения о работе и социальную инженерию, чтобы обманом заставить разработчиков установить троянизированные проекты, PolinRider представляет собой сдвиг в сторону полностью автоматической компрометации цепочки поставок без социальной инженерии .

Ключевые различия и пересечения:

• Обе кампании используют одно и то же семейство вредоносных программ BeaverTail и пересекающуюся инфраструктуру C2
• PolinRider/TasksJacker полностью устраняет социальный слой — компрометация происходит автоматически через вредоносные пакеты и автоматически запускаемые задачи VS Code
• Обе используют получение полезной нагрузки на основе блокчейна

Рекомендуемые меры защиты

Основываясь на рекомендациях OpenSourceMalware, Socket Security, Sonatype и других исследователей, организациям следует предпринять следующие шаги:

Немедленные действия

1. Считать любую затронутую среду полностью скомпрометированной — предполагать кражу учетных данных и секретов, пока не доказано обратное
2. Удалить затронутые пакеты из package.json, go.mod и файлов блокировок
3. Проверить всю исходящую сетевую активность с рабочих станций разработчиков, особенно подключения к узлам блокчейна и неизвестным IP-адресам
4. Приостановить работу над любой кодовой базой, на которой запускался затронутый пакет — откатить изменения к коммитам до известного окна компрометации
5. Сохранить криминалистические доказательства (логи, образы дисков) до начала исправления

Очистка кода и репозитория

6. Проверить все файлы postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs и подобные на наличие добавленного обфусцированного JavaScript
7. Проверить каталоги .vscode/ на наличие неожиданных tasks.json с конфигурациями автозапуска
8. Проверить файлы .woff2 и другие бинарные ассеты на наличие встроенного JavaScript
9. Проверить историю Git на наличие коммитов с задним числом от неизвестных авторов — не доверять видимой истории коммитов

Долгосрочное усиление защиты

10. Внедрить фильтрацию исходящего трафика в сетях разработчиков для ограничения исходящих соединений
11. Использовать проверку целостности пакетов (файлы блокировок, проверка контрольных сумм,

    npm audit

    , сканирование socket.dev) перед установкой
12. Отключить автоматический запуск задач VS Code в средах разработки, где это явно не требуется
13. Развернуть правила статического анализа — Datadog предлагает специальное правило обнаружения PolinRider для сканирования безопасности кода JavaScript/Node.js
14. Отслеживать индикаторы C2 на основе блокчейна — необычные DNS-запросы к API блокчейна или нестандартные исходящие соединения на машинах разработчиков
15. Перестроить из заведомо корректных файлов блокировок и повторно сменить все секреты, ключи API и криптографические ключи, которые могли быть раскрыты на любой затронутой рабочей станции