PolinRider: Nordkoreansk försörjningskedjeattack komprometterar 1 951 GitHub-repositories

Omfattning och skala

Omfattningen av PolinRider är enorm och växer snabbt:

• 1 951 komprometterade GitHub-repositories tillhörande 1 047 unika ägare i slutet av april 2026
• Antalet drabbade repositorier ungefär tredubblades under de fem veckorna efter den första rapporten
• Fler än 1 700 skadliga npm-paket har publicerats som en del av den bredare Contagious Interview-operationen

Ekosystem som angripits

Kampanjen har spridit sig långt bortom npm, som var den initiala vektorn:

• npm (Node.js): Det primära målet, med hundratals skadliga paket såsom dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt och debug-glit
• PyPI (Python): Python-paket distribuerade som en del av Contagious Interview-operationen
• Go (Go Module Mirror): Skadliga Go-paket identifierade av Socket Security
• Packagist (PHP/Composer): Expansion till detta ekosystem i juli 2026
• Rust (crates.io): Måltavla inom den bredare kampanjen
• GitHub Actions och VS Code-tillägg: Komprometterade via skadliga .vscode/tasks.json-filer och injicerade CI-pipelines

Kampanjen komprometterade även det vida använda Axios npm-biblioteket (versionerna 1.14.1 och 0.30.0) i april 2026 via ett skadligt beroende vid namn plain-crypto-js, vilket påverkade cirka 100 miljoner veckovisa nedladdningar .

Den flerstegs infektionsteknik

PolinRiders infektionskedja är en noggrant orkestrerad process i fyra steg, utformad för att maximera smygande och minimera behovet av offerinteraktion.

Steg 1: Obfuscated JavaScript-lastare i konfigurationsfiler

Angriparna lägger till kraftigt obfuskerad JavaScript i slutet av legitima utvecklarkonfigurationsfiler såsom postcss.config.mjs, tailwind.config.js, eslint.config.mjs och next.config.mjs . De skadliga raderna är utfyllda med överflödigt blanksteg, vilket trycker koden bortom standard-IDE-visningsbredden och gör den osynlig vid avslappnad kodgranskning .

Steg 2: Avancerade gömningsmetoder

PolinRider använder tre primära gömningstekniker:

• Falska .woff2-teckensnittsfiler: Den obfuskerade JavaScripten är förklädd som en webbteckensnittsfil, ett binärt format som de flesta utvecklare aldrig inspekterar
• Blankstegsutfyllnad: Exekverbara rader är utfyllda långt till höger om den synliga visningsporten
• Git-historieförfalskning (ForceMemo): En modul som skriver om Git-historik, bakdaterar skadliga incheckningar med månader för att framstå som rutinunderhåll från legitima underhållare

Steg 3: VS Code-uppgiftskörning (TasksJacker)

Skadliga .vscode/tasks.json-filer injiceras i repositorier. När en utvecklare klonar ett komprometterat repo och öppnar det i VS Code, körs uppgiften automatiskt utan ytterligare användarinteraktion. Detta kringgår helt det sociala ingenjörssteget som användes i tidigare Contagious Interview-kampanjer .

Steg 4: Blockkedjebaserad nyttolastinhämtning (C2)

Den deobfuskerade JavaScript-lastaren hämtar sin nästa stegs nyttolast genom att läsa krypterad data inbäddad i kryptovalutatransaktioner. Kampanjen använder TRON, Aptos och BSC (BNB Smart Chain)-blockkedjenätverk som dead-drop C2-kanaler . Denna "etherhiding"-teknik gör åtgärdandet extremt svårt eftersom C2-datan finns oföränderligt på publika blockkedjor.

Levererade skadeprogram

PolinRider levererar en serie skadliga nyttolaster, var och en med specifika kapaciteter:

BeaverTail (JavaScript-baserad droppare/informationsstjälare)

Den primära skadeprogramfamiljen som levereras är en ny variant av BeaverTail, ett känt JavaScript-baserat skadeprogram kopplat till DPRK-operationer. Det fungerar som en första stegs droppare och referensstöldare .

DEV#POPPER.js (fjärråtkomsttrojan)

Infektionskedjan levererar en JavaScript-baserad fjärråtkomsttrojan (RAT) som spåras som DEV#POPPER.js. Den ger full fjärrkodsexekvering (RCE), ihållande åtkomst och möjlighet att utföra godtyckliga kommandon på den komprometterade utvecklarens arbetsstation. eSentires Threat Response Unit (TRU) upptäckte den i verklig drift mot energi-, verktygs- och avfallssektorn i februari 2026 .

OmniStealer (informationsstjälare)

OmniStealer distribueras tillsammans med DEV#POPPER och riktar sig aggressivt mot inloggningsuppgifter för kryptoplånböcker, privata nycklar, webbläsarlagrade inloggningsuppgifter, sessionstokens, API-nycklar och CI/CD-hemligheter .

Andra nyttolaster

• PylangGhost: En Python-baserad bakdörr, vilket markerar första gången detta skadeprogram spreds via npm-paket
• Socket.io-bakdörr: Etablerar beständig reverse-shell-kommunikation med angriparens infrastruktur

Koppling till Contagious Interview

PolinRider är en direkt operativ utveckling av Contagious Interview-kampanjen. Medan Contagious Interview historiskt förlitade sig på falska jobbintervjuer och social ingenjörskonst för att lura utvecklare att installera trojaniserade projekt, representerar PolinRider en förskjutning mot helt automatiserad, social-ingenjörskonstfri försörjningskedjekompromettering .

Viktiga skillnader och överlappningar inkluderar:

• Båda kampanjerna delar samma BeaverTail-skadeprogramfamilj och överlappande C2-infrastruktur
• PolinRider/TasksJacker eliminerar helt det sociala lagret – kompromettering sker automatiskt via skadliga paket och VS Codes automatiska uppgiftskörare
• Båda använder blockkedjebaserad nyttolastinhämtning

Rekommenderat defensivt svar

Baserat på vägledning från OpenSourceMalware, Socket Security, Sonatype och andra forskare bör organisationer vidta följande åtgärder:

Omedelbara åtgärder

1. Behandla alla påverkade miljöer som fullt komprometterade – antag att inloggningsuppgifter och hemligheter har stulits tills motsatsen bevisats
2. Ta bort drabbade paket från package.json, go.mod och låsfiler
3. Granska all utgående nätverkstrafik från utvecklares arbetsstationer, särskilt anslutningar till blockkedjenoder och okända IP-adresser
4. Pausa arbete på alla kodbaser som kört ett drabbat paket – återgå till incheckningar från före det kända komprometteringsfönstret
5. Bevara forensiska bevis (loggar, diskavbildningar) före åtgärd

Kod- och repositoriestädning

6. Skanna alla postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs och liknande filer efter bifogad obfuskerad JavaScript
7. Inspektera .vscode/-kataloger efter oväntade tasks.json-filer med automatisk körningskonfiguration
8. Granska .woff2 och andra binära tillgångsfiler för inbäddad JavaScript
9. Granska Git-historik efter bakdaterade incheckningar från okända författare – lita inte på synlig incheckningshistorik ensam

Långsiktig hårdning

10. Implementera egressfiltrering på utvecklarnätverk för att begränsa utgående anslutningar
11. Använd paketintegritetsverifiering (låsfiler, checksumma-validering,

    npm audit

    , socket.dev-skanning) före installation
12. Inaktivera VS Codes automatiska uppgiftskörning i utvecklingsmiljöer där det inte uttryckligen behövs
13. Distribuera statiska analysregler – Datadog erbjuder en dedikerad PolinRider-detekteringsregel för JavaScript/Node.js-kodsäkerhetssökning
14. Övervaka efter blockkedjebaserade C2-indikatorer – ovanliga DNS-sökningar till blockkedje-API:er eller icke-standardiserade utgående anslutningar på utvecklarmaskiner
15. Återbygg från kända-goda låsfiler och rotera alla hemligheter, API-nycklar och kryptografiska nycklar som kan ha exponerats på någon påverkad arbetsstation