คำตอบการวิจัย
ประเด็นสำคัญ PolinRider เป็นแคมเปญโจมตีซัพพลายเชนจากเกาหลีเหนือ (กลุ่ม Lazarus/Contagious Interview) ที่จนถึงปลายเมษายน 2026 ได้เจาะ GitHub จำนวน 1,951 repositories จาก 1,047 ผู้ใช้ โดยเพิ่มขึ้นประมาณสามเท่าในห้าสัปดาห์ มีการเผยแพร่ npm package อันตรายมากกว่า 1,700 ตัว จากนั้นแพร่กระจายไปยัง PyPI, Go, Packagist (PHP) และ crates.io (Rust) และยังเจาะ Axios ซึ่งเป็นไลบรารียอดนิยมที่มีการดาวน์โหลด 100 ล้านครั้งต่อสัปดาห์ มัลแวร์ที่ใช้คือ BeaverTail (dropper/stealer), DEV POPPER.js (RAT), และ OmniStealer (ขโมยข้อมูล crypto wallet) โดยใช้ Blockchain ในการซ่อน C2 ทำให้ถอดถอนได้ยาก เทคนิคการโจมตีมี 4 ขั้นตอน ตั้งแต่ซ่อนโค้ดในไฟล์ config, ปลอมเป็นไฟล์ฟอนต์ woff2, ใช้ VS Code Tasks อัตโนมัติ, จนถึงดึง Payload จาก Blockchain (TRON, Aptos, BSC) Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers, An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com แคมเปญ PolinRider นับเป็นการโจมตีซัพพลายเชนโอเพนซอร์สที่รุนแรงและล้ำหน้าที่สุดครั้งหนึ่งที่เชื่อมโยงกับเกาหลีเหนือ โดยถูกตรวจพบครั้งแรกโดย OpenSourceMalware ในเดือนมีนาคม 2026 และได้ขยายตัวอย่างรวดเร็วไปยังระบบนิเวศของแพ็กเกจและเครื่องมือนักพัฒนาหลายประเภท มีการเจาะ GitHub เกือบ 2,000 repositories และใช้เทคโนโลยี Blockchain เพื่อให้เซิร์ฟเวอร์ C2 (Command-and-Control) มีความยืดหยุ่นสูง
การระบุแหล่งที่มาและตัวตนของแคมเปญ
PolinRider ถูกระบุว่าเป็นฝีมือของเกาหลีเหนือ (DPRK) และเชื่อมโยงกับกลุ่ม Lazarus โดยเป็นแคมเปญย่อยในเครือข่ายของ Contagious Interview (หรือที่รู้จักในชื่อ Famous Chollima)
คนยังถาม คำตอบสั้น ๆ สำหรับ "PolinRider: แคมเปญโจมตีซัพพลายเชนจากเกาหลีเหนือที่เจาะ 1,951 GitHub Repos" คืออะไร PolinRider เป็นแคมเปญโจมตีซัพพลายเชนจากเกาหลีเหนือ (กลุ่ม Lazarus/Contagious Interview) ที่จนถึงปลายเมษายน 2026 ได้เจาะ GitHub จำนวน 1,951 repositories จาก 1,047 ผู้ใช้ โดยเพิ่มขึ้นประมาณสามเท่าในห้าสัปดาห์
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? PolinRider เป็นแคมเปญโจมตีซัพพลายเชนจากเกาหลีเหนือ (กลุ่ม Lazarus/Contagious Interview) ที่จนถึงปลายเมษายน 2026 ได้เจาะ GitHub จำนวน 1,951 repositories จาก 1,047 ผู้ใช้ โดยเพิ่มขึ้นประมาณสามเท่าในห้าสัปดาห์ มีการเผยแพร่ npm package อันตรายมากกว่า 1,700 ตัว จากนั้นแพร่กระจายไปยัง PyPI, Go, Packagist (PHP) และ crates.io (Rust) และยังเจาะ Axios ซึ่งเป็นไลบรารียอดนิยมที่มีการดาวน์โหลด 100 ล้านครั้งต่อสัปดาห์
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? มัลแวร์ที่ใช้คือ BeaverTail (dropper/stealer), DEV POPPER.js (RAT), และ OmniStealer (ขโมยข้อมูล crypto wallet) โดยใช้ Blockchain ในการซ่อน C2 ทำให้ถอดถอนได้ยาก
คำตอบการวิจัย
ประเด็นสำคัญ PolinRider เป็นแคมเปญโจมตีซัพพลายเชนจากเกาหลีเหนือ (กลุ่ม Lazarus/Contagious Interview) ที่จนถึงปลายเมษายน 2026 ได้เจาะ GitHub จำนวน 1,951 repositories จาก 1,047 ผู้ใช้ โดยเพิ่มขึ้นประมาณสามเท่าในห้าสัปดาห์ มีการเผยแพร่ npm package อันตรายมากกว่า 1,700 ตัว จากนั้นแพร่กระจายไปยัง PyPI, Go, Packagist (PHP) และ crates.io (Rust) และยังเจาะ Axios ซึ่งเป็นไลบรารียอดนิยมที่มีการดาวน์โหลด 100 ล้านครั้งต่อสัปดาห์ มัลแวร์ที่ใช้คือ BeaverTail (dropper/stealer), DEV POPPER.js (RAT), และ OmniStealer (ขโมยข้อมูล crypto wallet) โดยใช้ Blockchain ในการซ่อน C2 ทำให้ถอดถอนได้ยาก เทคนิคการโจมตีมี 4 ขั้นตอน ตั้งแต่ซ่อนโค้ดในไฟล์ config, ปลอมเป็นไฟล์ฟอนต์ woff2, ใช้ VS Code Tasks อัตโนมัติ, จนถึงดึง Payload จาก Blockchain (TRON, Aptos, BSC) Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers, An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com แคมเปญ PolinRider นับเป็นการโจมตีซัพพลายเชนโอเพนซอร์สที่รุนแรงและล้ำหน้าที่สุดครั้งหนึ่งที่เชื่อมโยงกับเกาหลีเหนือ โดยถูกตรวจพบครั้งแรกโดย OpenSourceMalware ในเดือนมีนาคม 2026 และได้ขยายตัวอย่างรวดเร็วไปยังระบบนิเวศของแพ็กเกจและเครื่องมือนักพัฒนาหลายประเภท มีการเจาะ GitHub เกือบ 2,000 repositories และใช้เทคโนโลยี Blockchain เพื่อให้เซิร์ฟเวอร์ C2 (Command-and-Control) มีความยืดหยุ่นสูง
การระบุแหล่งที่มาและตัวตนของแคมเปญ
PolinRider ถูกระบุว่าเป็นฝีมือของเกาหลีเหนือ (DPRK) และเชื่อมโยงกับกลุ่ม Lazarus โดยเป็นแคมเปญย่อยในเครือข่ายของ Contagious Interview (หรือที่รู้จักในชื่อ Famous Chollima)
คนยังถาม คำตอบสั้น ๆ สำหรับ "PolinRider: แคมเปญโจมตีซัพพลายเชนจากเกาหลีเหนือที่เจาะ 1,951 GitHub Repos" คืออะไร PolinRider เป็นแคมเปญโจมตีซัพพลายเชนจากเกาหลีเหนือ (กลุ่ม Lazarus/Contagious Interview) ที่จนถึงปลายเมษายน 2026 ได้เจาะ GitHub จำนวน 1,951 repositories จาก 1,047 ผู้ใช้ โดยเพิ่มขึ้นประมาณสามเท่าในห้าสัปดาห์
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? PolinRider เป็นแคมเปญโจมตีซัพพลายเชนจากเกาหลีเหนือ (กลุ่ม Lazarus/Contagious Interview) ที่จนถึงปลายเมษายน 2026 ได้เจาะ GitHub จำนวน 1,951 repositories จาก 1,047 ผู้ใช้ โดยเพิ่มขึ้นประมาณสามเท่าในห้าสัปดาห์ มีการเผยแพร่ npm package อันตรายมากกว่า 1,700 ตัว จากนั้นแพร่กระจายไปยัง PyPI, Go, Packagist (PHP) และ crates.io (Rust) และยังเจาะ Axios ซึ่งเป็นไลบรารียอดนิยมที่มีการดาวน์โหลด 100 ล้านครั้งต่อสัปดาห์
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? มัลแวร์ที่ใช้คือ BeaverTail (dropper/stealer), DEV POPPER.js (RAT), และ OmniStealer (ขโมยข้อมูล crypto wallet) โดยใช้ Blockchain ในการซ่อน C2 ทำให้ถอดถอนได้ยาก
TasksJacker
ขอบเขตและขนาด ขนาดของ PolinRider นั้นกว้างใหญ่และเติบโตอย่างรวดเร็ว:
1,951 GitHub repositories ที่ถูกเจาะ เป็นของ 1,047 ผู้ใช้ ที่ไม่ซ้ำกัน ณ สิ้นเดือนเมษายน 2026 จำนวน repositories ที่ได้รับผลกระทบเพิ่มขึ้นประมาณ สามเท่า ในห้าสัปดาห์หลังจากการเปิดเผยครั้งแรก
มี npm package อันตรายมากกว่า 1,700 ตัว ที่ถูกเผยแพร่ในแคมเปญ Contagious Interview ที่กว้างขึ้น
ระบบนิเวศที่ถูกโจมตี แคมเปญนี้แพร่กระจายไปไกลเกินกว่า npm ซึ่งเป็นช่องทางแรก:
npm (Node.js): เป้าหมายหลัก มี package อันตรายหลายร้อยตัว เช่น dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt, และ debug-glit PyPI (Python): มีการกระจาย Python package ในปฏิบัติการของ Contagious Interview Go (Go Module Mirror): พบเจอ Go package อันตรายที่ระบุโดย Socket Security Packagist (PHP/Composer): ขยายมาถึงระบบนิเวศนี้ภายในเดือนกรกฎาคม 2026 Rust (crates.io): ก็ตกเป็นเป้าหมายในแคมเปญนี้เช่นกัน GitHub Actions และ VS Code extensions: ถูกเจาะผ่านไฟล์ .vscode/tasks.json และ CI pipelines ที่ถูกแทรก นอกจากนี้ แคมเปญยังเจาะไลบรารี Axios npm ที่ใช้กันอย่างแพร่หลาย (เวอร์ชัน 1.14.1 และ 0.30.0) ในเดือนเมษายน 2026 ผ่าน dependency ที่เป็นอันตรายชื่อ plain-crypto-js ซึ่งส่งผลกระทบต่อการดาวน์โหลดประมาณ 100 ล้านครั้งต่อสัปดาห์
เทคนิคการติดเชื้อหลายขั้นตอน ห่วงโซ่การติดเชื้อของ PolinRider เป็นกระบวนการสี่ขั้นตอนที่ถูกวางแผนมาอย่างพิถีพิถัน เพื่อให้มีความลับสูงสุดและต้องการการโต้ตอบจากเหยื่อน้อยที่สุด
ขั้นตอนที่ 1: ตัวโหลด JavaScript ที่ถูกทำให้สับสนในไฟล์ Config
ขั้นตอนที่ 2: วิธีการซ่อนตัวที่ซับซ้อน PolinRider ใช้เทคนิคการซ่อนตัวหลักสามวิธี:
ไฟล์ฟอนต์ .woff2 ปลอม: JavaScript ที่ถูกทำให้สับสนจะถูกปลอมเป็นไฟล์ฟอนต์เว็บ ซึ่งเป็นรูปแบบไบนารีที่นักพัฒนาส่วนใหญ่ไม่เคยตรวจสอบ การบุด้วยช่องว่าง (Whitespace padding): บรรทัดที่รันได้จะถูกบุไปทางขวาของ viewport ที่มองเห็นได้ การปลอมแปลงประวัติ Git (ForceMemo): โมดูลที่เขียนประวัติ Git ใหม่ โดยย้อนวันที่ commit ที่เป็นอันตรายไปหลายเดือนเพื่อให้ดูเหมือนการบำรุงรักษาตามปกติจากผู้ดูแลที่ถูกต้อง
ขั้นตอนที่ 3: การทำงานของ VS Code Task (TasksJacker)
ขั้นตอนที่ 4: การดึง Payload ผ่าน Blockchain (C2)
มัลแวร์ Payload ที่ถูกส่ง PolinRider ส่งชุดมัลแวร์หลายตัว แต่ละตัวมีความสามารถเฉพาะ:
BeaverTail (Dropper/Infostealer ที่ใช้ JavaScript) ตระกูลมัลแวร์หลักที่ส่งคือ BeaverTail สายพันธุ์ใหม่ ซึ่งเป็นมัลแวร์ JavaScript ที่รู้จักกันดีซึ่งเชื่อมโยงกับปฏิบัติการของ DPRK มันทำหน้าที่เป็นตัว dropper และ credential harvester ในขั้นแรก
DEV#POPPER.js (Remote Access Trojan) ห่วงโซ่การติดเชื้อจะส่ง RAT ที่ใช้ JavaScript ซึ่งถูกติดตามในชื่อ DEV#POPPER.js มันให้ความสามารถในการ Remote Code Execution (RCE) แบบเต็มรูปแบบ การเข้าถึงแบบถาวร และความสามารถในการรันคำสั่งต่างๆ บนเวิร์กสเตชันของนักพัฒนาที่ถูกเจาะ eSentire's Threat Response Unit (TRU) ตรวจพบมันในโลกแห่งความจริงที่โจมตีภาคพลังงาน สาธารณูปโภค และของเสียในเดือนกุมภาพันธ์ 2026
OmniStealer (Information Stealer) ถูกปรับใช้ควบคู่ไปกับ DEV#POPPER โดย OmniStealer จะโจมตีข้อมูลประจำตัวของกระเป๋าเงินคริปโต คีย์ส่วนตัว ข้อมูลประจำตัวที่เก็บไว้ในเบราว์เซอร์ โทเค็นเซสชัน คีย์ API และความลับของ CI/CD อย่างรุนแรง
Payload อื่นๆ
PylangGhost: Backdoor ที่ใช้ Python ซึ่งเป็นครั้งแรกที่มัลแวร์นี้ถูกแพร่กระจายผ่าน npm packages Socket.io backdoor: สร้างการสื่อสาร Reverse-Shell แบบถาวรกับโครงสร้างพื้นฐานของผู้โจมตี
ความเชื่อมโยงกับ Contagious Interview ความแตกต่างและความทับซ้อนที่สำคัญ:
ทั้งสองแคมเปญใช้ตระกูลมัลแวร์ BeaverTail เดียวกันและโครงสร้างพื้นฐาน C2 ที่ทับซ้อนกัน
PolinRider/TasksJacker ตัดชั้นทางสังคมออกไปโดยสิ้นเชิง การเจาะเกิดขึ้นโดยอัตโนมัติผ่าน package อันตรายและ VS Code auto-run tasks
ทั้งสองใช้การดึง payload ผ่าน Blockchain
คำแนะนำในการป้องกัน จากคำแนะนำของ OpenSourceMalware, Socket Security, Sonatype และนักวิจัยอื่นๆ องค์กรควรดำเนินการดังต่อไปนี้:
การดำเนินการทันที
ถือว่าสภาพแวดล้อมที่ได้รับผลกระทบทั้งหมดถูกบุกรุกโดยสมบูรณ์ — ให้สันนิษฐานว่าข้อมูลประจำตัวและความลับถูกขโมยไปจนกว่าจะพิสูจน์ได้เป็นอย่างอื่น ลบ package ที่ได้รับผลกระทบ ออกจาก package.json, go.mod, และไฟล์ lockfile ตรวจสอบกิจกรรมเครือข่ายขาออกทั้งหมด จากเวิร์กสเตชันนักพัฒนา โดยเฉพาะการเชื่อมต่อไปยัง blockchain nodes และ IP ที่ไม่รู้จัก หยุดการทำงานบนโค้ดเบสที่รัน package ที่ได้รับผลกระทบ — ให้ย้อนกลับไปยัง commit ก่อนช่วงเวลาที่ทราบว่าถูกบุกรุก เก็บรักษาหลักฐานทางนิติเวช (บันทึก, ภาพดิสก์) ก่อนดำเนินการแก้ไข
การล้างโค้ดและ Repository
สแกนไฟล์ postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs และไฟล์ที่คล้ายกันทั้งหมดเพื่อหา JavaScript ถูกทำให้สับสนที่ถูกต่อท้าย ตรวจสอบไดเรกทอรี .vscode/ เพื่อหา tasks.json ที่ไม่คาดคิดซึ่งมีการตั้งค่าให้ทำงานอัตโนมัติ ตรวจสอบไฟล์ .woff2 และไฟล์ไบนารีอื่นๆ ว่ามี JavaScript ฝังอยู่หรือไม่ ตรวจสอบประวัติ Git สำหรับ commit ที่ถูกย้อนเวลาจากผู้เขียนที่ไม่รู้จัก — อย่าเชื่อถือประวัติ commit ที่มองเห็นเพียงอย่างเดียว
การป้องกันในระยะยาว
ใช้การกรอง Egress บนเครือข่ายนักพัฒนา เพื่อจำกัดการเชื่อมต่อขาออก ใช้การตรวจสอบความสมบูรณ์ของ Package (lockfile, การตรวจสอบ Checksum, npm audit, การสแกน socket.dev) ก่อนการติดตั้ง ปิดการทำงานของ VS Code auto-run tasks ในสภาพแวดล้อมการพัฒนาที่ไม่จำเป็นต้องใช้ ปรับใช้กฎ Static Analysis — Datadog มีกฎการตรวจจับ PolinRider โดยเฉพาะสำหรับการสแกนความปลอดภัยของโค้ด JavaScript/Node.js ตรวจสอบตัวบ่งชี้ Blockchain ในการทำ C2 — การค้นหา DNS ที่ผิดปกติไปยัง Blockchain API หรือการเชื่อมต่อขาออกที่ไม่ได้มาตรฐานบนเครื่องนักพัฒนา สร้างใหม่จาก lockfile ที่รู้ว่าดีและหมุนเวียนความลับ คีย์ API และคีย์เข้ารหัสทั้งหมด ที่อาจถูกเปิดเผยบนเวิร์กสเตชันที่ได้รับผลกระทบ PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
TasksJacker
ขอบเขตและขนาด ขนาดของ PolinRider นั้นกว้างใหญ่และเติบโตอย่างรวดเร็ว:
1,951 GitHub repositories ที่ถูกเจาะ เป็นของ 1,047 ผู้ใช้ ที่ไม่ซ้ำกัน ณ สิ้นเดือนเมษายน 2026 จำนวน repositories ที่ได้รับผลกระทบเพิ่มขึ้นประมาณ สามเท่า ในห้าสัปดาห์หลังจากการเปิดเผยครั้งแรก
มี npm package อันตรายมากกว่า 1,700 ตัว ที่ถูกเผยแพร่ในแคมเปญ Contagious Interview ที่กว้างขึ้น
ระบบนิเวศที่ถูกโจมตี แคมเปญนี้แพร่กระจายไปไกลเกินกว่า npm ซึ่งเป็นช่องทางแรก:
npm (Node.js): เป้าหมายหลัก มี package อันตรายหลายร้อยตัว เช่น dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt, และ debug-glit PyPI (Python): มีการกระจาย Python package ในปฏิบัติการของ Contagious Interview Go (Go Module Mirror): พบเจอ Go package อันตรายที่ระบุโดย Socket Security Packagist (PHP/Composer): ขยายมาถึงระบบนิเวศนี้ภายในเดือนกรกฎาคม 2026 Rust (crates.io): ก็ตกเป็นเป้าหมายในแคมเปญนี้เช่นกัน GitHub Actions และ VS Code extensions: ถูกเจาะผ่านไฟล์ .vscode/tasks.json และ CI pipelines ที่ถูกแทรก นอกจากนี้ แคมเปญยังเจาะไลบรารี Axios npm ที่ใช้กันอย่างแพร่หลาย (เวอร์ชัน 1.14.1 และ 0.30.0) ในเดือนเมษายน 2026 ผ่าน dependency ที่เป็นอันตรายชื่อ plain-crypto-js ซึ่งส่งผลกระทบต่อการดาวน์โหลดประมาณ 100 ล้านครั้งต่อสัปดาห์
เทคนิคการติดเชื้อหลายขั้นตอน ห่วงโซ่การติดเชื้อของ PolinRider เป็นกระบวนการสี่ขั้นตอนที่ถูกวางแผนมาอย่างพิถีพิถัน เพื่อให้มีความลับสูงสุดและต้องการการโต้ตอบจากเหยื่อน้อยที่สุด
ขั้นตอนที่ 1: ตัวโหลด JavaScript ที่ถูกทำให้สับสนในไฟล์ Config
ขั้นตอนที่ 2: วิธีการซ่อนตัวที่ซับซ้อน PolinRider ใช้เทคนิคการซ่อนตัวหลักสามวิธี:
ไฟล์ฟอนต์ .woff2 ปลอม: JavaScript ที่ถูกทำให้สับสนจะถูกปลอมเป็นไฟล์ฟอนต์เว็บ ซึ่งเป็นรูปแบบไบนารีที่นักพัฒนาส่วนใหญ่ไม่เคยตรวจสอบ การบุด้วยช่องว่าง (Whitespace padding): บรรทัดที่รันได้จะถูกบุไปทางขวาของ viewport ที่มองเห็นได้ การปลอมแปลงประวัติ Git (ForceMemo): โมดูลที่เขียนประวัติ Git ใหม่ โดยย้อนวันที่ commit ที่เป็นอันตรายไปหลายเดือนเพื่อให้ดูเหมือนการบำรุงรักษาตามปกติจากผู้ดูแลที่ถูกต้อง
ขั้นตอนที่ 3: การทำงานของ VS Code Task (TasksJacker)
ขั้นตอนที่ 4: การดึง Payload ผ่าน Blockchain (C2)
มัลแวร์ Payload ที่ถูกส่ง PolinRider ส่งชุดมัลแวร์หลายตัว แต่ละตัวมีความสามารถเฉพาะ:
BeaverTail (Dropper/Infostealer ที่ใช้ JavaScript) ตระกูลมัลแวร์หลักที่ส่งคือ BeaverTail สายพันธุ์ใหม่ ซึ่งเป็นมัลแวร์ JavaScript ที่รู้จักกันดีซึ่งเชื่อมโยงกับปฏิบัติการของ DPRK มันทำหน้าที่เป็นตัว dropper และ credential harvester ในขั้นแรก
DEV#POPPER.js (Remote Access Trojan) ห่วงโซ่การติดเชื้อจะส่ง RAT ที่ใช้ JavaScript ซึ่งถูกติดตามในชื่อ DEV#POPPER.js มันให้ความสามารถในการ Remote Code Execution (RCE) แบบเต็มรูปแบบ การเข้าถึงแบบถาวร และความสามารถในการรันคำสั่งต่างๆ บนเวิร์กสเตชันของนักพัฒนาที่ถูกเจาะ eSentire's Threat Response Unit (TRU) ตรวจพบมันในโลกแห่งความจริงที่โจมตีภาคพลังงาน สาธารณูปโภค และของเสียในเดือนกุมภาพันธ์ 2026
OmniStealer (Information Stealer) ถูกปรับใช้ควบคู่ไปกับ DEV#POPPER โดย OmniStealer จะโจมตีข้อมูลประจำตัวของกระเป๋าเงินคริปโต คีย์ส่วนตัว ข้อมูลประจำตัวที่เก็บไว้ในเบราว์เซอร์ โทเค็นเซสชัน คีย์ API และความลับของ CI/CD อย่างรุนแรง
Payload อื่นๆ
PylangGhost: Backdoor ที่ใช้ Python ซึ่งเป็นครั้งแรกที่มัลแวร์นี้ถูกแพร่กระจายผ่าน npm packages Socket.io backdoor: สร้างการสื่อสาร Reverse-Shell แบบถาวรกับโครงสร้างพื้นฐานของผู้โจมตี
ความเชื่อมโยงกับ Contagious Interview ความแตกต่างและความทับซ้อนที่สำคัญ:
ทั้งสองแคมเปญใช้ตระกูลมัลแวร์ BeaverTail เดียวกันและโครงสร้างพื้นฐาน C2 ที่ทับซ้อนกัน
PolinRider/TasksJacker ตัดชั้นทางสังคมออกไปโดยสิ้นเชิง การเจาะเกิดขึ้นโดยอัตโนมัติผ่าน package อันตรายและ VS Code auto-run tasks
ทั้งสองใช้การดึง payload ผ่าน Blockchain
คำแนะนำในการป้องกัน จากคำแนะนำของ OpenSourceMalware, Socket Security, Sonatype และนักวิจัยอื่นๆ องค์กรควรดำเนินการดังต่อไปนี้:
การดำเนินการทันที
ถือว่าสภาพแวดล้อมที่ได้รับผลกระทบทั้งหมดถูกบุกรุกโดยสมบูรณ์ — ให้สันนิษฐานว่าข้อมูลประจำตัวและความลับถูกขโมยไปจนกว่าจะพิสูจน์ได้เป็นอย่างอื่น ลบ package ที่ได้รับผลกระทบ ออกจาก package.json, go.mod, และไฟล์ lockfile ตรวจสอบกิจกรรมเครือข่ายขาออกทั้งหมด จากเวิร์กสเตชันนักพัฒนา โดยเฉพาะการเชื่อมต่อไปยัง blockchain nodes และ IP ที่ไม่รู้จัก หยุดการทำงานบนโค้ดเบสที่รัน package ที่ได้รับผลกระทบ — ให้ย้อนกลับไปยัง commit ก่อนช่วงเวลาที่ทราบว่าถูกบุกรุก เก็บรักษาหลักฐานทางนิติเวช (บันทึก, ภาพดิสก์) ก่อนดำเนินการแก้ไข
การล้างโค้ดและ Repository
สแกนไฟล์ postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs และไฟล์ที่คล้ายกันทั้งหมดเพื่อหา JavaScript ถูกทำให้สับสนที่ถูกต่อท้าย ตรวจสอบไดเรกทอรี .vscode/ เพื่อหา tasks.json ที่ไม่คาดคิดซึ่งมีการตั้งค่าให้ทำงานอัตโนมัติ ตรวจสอบไฟล์ .woff2 และไฟล์ไบนารีอื่นๆ ว่ามี JavaScript ฝังอยู่หรือไม่ ตรวจสอบประวัติ Git สำหรับ commit ที่ถูกย้อนเวลาจากผู้เขียนที่ไม่รู้จัก — อย่าเชื่อถือประวัติ commit ที่มองเห็นเพียงอย่างเดียว
การป้องกันในระยะยาว
ใช้การกรอง Egress บนเครือข่ายนักพัฒนา เพื่อจำกัดการเชื่อมต่อขาออก ใช้การตรวจสอบความสมบูรณ์ของ Package (lockfile, การตรวจสอบ Checksum, npm audit, การสแกน socket.dev) ก่อนการติดตั้ง ปิดการทำงานของ VS Code auto-run tasks ในสภาพแวดล้อมการพัฒนาที่ไม่จำเป็นต้องใช้ ปรับใช้กฎ Static Analysis — Datadog มีกฎการตรวจจับ PolinRider โดยเฉพาะสำหรับการสแกนความปลอดภัยของโค้ด JavaScript/Node.js ตรวจสอบตัวบ่งชี้ Blockchain ในการทำ C2 — การค้นหา DNS ที่ผิดปกติไปยัง Blockchain API หรือการเชื่อมต่อขาออกที่ไม่ได้มาตรฐานบนเครื่องนักพัฒนา สร้างใหม่จาก lockfile ที่รู้ว่าดีและหมุนเวียนความลับ คีย์ API และคีย์เข้ารหัสทั้งหมด ที่อาจถูกเปิดเผยบนเวิร์กสเตชันที่ได้รับผลกระทบ PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
