PolinRider: แคมเปญโจมตีซัพพลายเชนจากเกาหลีเหนือที่เจาะ 1,951 GitHub Repos

แคมเปญ PolinRider นับเป็นการโจมตีซัพพลายเชนโอเพนซอร์สที่รุนแรงและล้ำหน้าที่สุดครั้งหนึ่งที่เชื่อมโยงกับเกาหลีเหนือ โดยถูกตรวจพบครั้งแรกโดย OpenSourceMalware ในเดือนมีนาคม 2026 และได้ขยายตัวอย่างรวดเร็วไปยังระบบนิเวศของแพ็กเกจและเครื่องมือนักพัฒนาหลายประเภท มีการเจาะ GitHub เกือบ 2,000 repositories และใช้เทคโนโลยี Blockchain เพื่อให้เซิร์ฟเวอร์ C2 (Command-and-Control) มีความยืดหยุ่นสูง

การระบุแหล่งที่มาและตัวตนของแคมเปญ

PolinRider ถูกระบุว่าเป็นฝีมือของเกาหลีเหนือ (DPRK) และเชื่อมโยงกับกลุ่ม Lazarus โดยเป็นแคมเปญย่อยในเครือข่ายของ Contagious Interview (หรือที่รู้จักในชื่อ Famous Chollima) แคมเปญนี้ได้รวมการปฏิบัติการเข้ากับ TasksJacker ซึ่งเน้นการปลอมแปลง Task Automation ใน VS Code

ขอบเขตและขนาด

ขนาดของ PolinRider นั้นกว้างใหญ่และเติบโตอย่างรวดเร็ว:

• 1,951 GitHub repositories ที่ถูกเจาะ เป็นของ 1,047 ผู้ใช้ ที่ไม่ซ้ำกัน ณ สิ้นเดือนเมษายน 2026
• จำนวน repositories ที่ได้รับผลกระทบเพิ่มขึ้นประมาณ สามเท่า ในห้าสัปดาห์หลังจากการเปิดเผยครั้งแรก
• มี npm package อันตรายมากกว่า 1,700 ตัว ที่ถูกเผยแพร่ในแคมเปญ Contagious Interview ที่กว้างขึ้น

ระบบนิเวศที่ถูกโจมตี

แคมเปญนี้แพร่กระจายไปไกลเกินกว่า npm ซึ่งเป็นช่องทางแรก:

• npm (Node.js): เป้าหมายหลัก มี package อันตรายหลายร้อยตัว เช่น dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt, และ debug-glit
• PyPI (Python): มีการกระจาย Python package ในปฏิบัติการของ Contagious Interview
• Go (Go Module Mirror): พบเจอ Go package อันตรายที่ระบุโดย Socket Security
• Packagist (PHP/Composer): ขยายมาถึงระบบนิเวศนี้ภายในเดือนกรกฎาคม 2026
• Rust (crates.io): ก็ตกเป็นเป้าหมายในแคมเปญนี้เช่นกัน
• GitHub Actions และ VS Code extensions: ถูกเจาะผ่านไฟล์ .vscode/tasks.json และ CI pipelines ที่ถูกแทรก

นอกจากนี้ แคมเปญยังเจาะไลบรารี Axios npm ที่ใช้กันอย่างแพร่หลาย (เวอร์ชัน 1.14.1 และ 0.30.0) ในเดือนเมษายน 2026 ผ่าน dependency ที่เป็นอันตรายชื่อ plain-crypto-js ซึ่งส่งผลกระทบต่อการดาวน์โหลดประมาณ 100 ล้านครั้งต่อสัปดาห์

เทคนิคการติดเชื้อหลายขั้นตอน

ห่วงโซ่การติดเชื้อของ PolinRider เป็นกระบวนการสี่ขั้นตอนที่ถูกวางแผนมาอย่างพิถีพิถัน เพื่อให้มีความลับสูงสุดและต้องการการโต้ตอบจากเหยื่อน้อยที่สุด

ขั้นตอนที่ 1: ตัวโหลด JavaScript ที่ถูกทำให้สับสนในไฟล์ Config

ผู้โจมตีจะต่อท้าย JavaScript ที่ถูกทำให้สับสนอย่างหนักไว้ที่ท้ายไฟล์คอนฟิกของนักพัฒนาที่ถูกต้อง เช่น postcss.config.mjs, tailwind.config.js, eslint.config.mjs, และ next.config.mjs บรรทัดที่อันตรายเหล่านี้จะถูกบุด้วยช่องว่างจำนวนมาก ทำให้โค้ดอยู่นอกขอบเขตการมองเห็นเริ่มต้นของ IDE และมองไม่เห็นในระหว่างการตรวจสอบโค้ดแบบคร่าวๆ

ขั้นตอนที่ 2: วิธีการซ่อนตัวที่ซับซ้อน

PolinRider ใช้เทคนิคการซ่อนตัวหลักสามวิธี:

• ไฟล์ฟอนต์ .woff2 ปลอม: JavaScript ที่ถูกทำให้สับสนจะถูกปลอมเป็นไฟล์ฟอนต์เว็บ ซึ่งเป็นรูปแบบไบนารีที่นักพัฒนาส่วนใหญ่ไม่เคยตรวจสอบ
• การบุด้วยช่องว่าง (Whitespace padding): บรรทัดที่รันได้จะถูกบุไปทางขวาของ viewport ที่มองเห็นได้
• การปลอมแปลงประวัติ Git (ForceMemo): โมดูลที่เขียนประวัติ Git ใหม่ โดยย้อนวันที่ commit ที่เป็นอันตรายไปหลายเดือนเพื่อให้ดูเหมือนการบำรุงรักษาตามปกติจากผู้ดูแลที่ถูกต้อง

ขั้นตอนที่ 3: การทำงานของ VS Code Task (TasksJacker)

ไฟล์ .vscode/tasks.json ที่เป็นอันตรายจะถูกแทรกลงใน repositories เมื่อนักพัฒนา clone repo ที่ถูกเจาะและเปิดใน VS Code งานจะทำงาน โดยอัตโนมัติ โดยไม่ต้องมีการโต้ตอบจากผู้ใช้อีก ซึ่งเป็นการข้ามขั้นตอนวิศวกรรมสังคมที่ใช้ในแคมเปญ Contagious Interview ก่อนหน้านี้โดยสิ้นเชิง

ขั้นตอนที่ 4: การดึง Payload ผ่าน Blockchain (C2)

ตัวโหลด JavaScript ที่ถูกถอดรหัสจะดึง payload ขั้นต่อไปโดยการอ่านข้อมูลที่เข้ารหัสที่ฝังอยู่ในธุรกรรมของ Blockchain สกุลเงินดิจิทัล แคมเปญใช้เครือข่าย Blockchain TRON, Aptos, และ BSC (BNB Smart Chain) เป็นช่องทาง C2 แบบ Dead-Drop เทคนิค "etherhiding" นี้ทำให้การถอดถอนทำได้ยากมาก เนื่องจากข้อมูล C2 มีอยู่อย่างไม่เปลี่ยนแปลงบน Blockchain สาธารณะ

มัลแวร์ Payload ที่ถูกส่ง

PolinRider ส่งชุดมัลแวร์หลายตัว แต่ละตัวมีความสามารถเฉพาะ:

BeaverTail (Dropper/Infostealer ที่ใช้ JavaScript)

ตระกูลมัลแวร์หลักที่ส่งคือ BeaverTail สายพันธุ์ใหม่ ซึ่งเป็นมัลแวร์ JavaScript ที่รู้จักกันดีซึ่งเชื่อมโยงกับปฏิบัติการของ DPRK มันทำหน้าที่เป็นตัว dropper และ credential harvester ในขั้นแรก

DEV#POPPER.js (Remote Access Trojan)

ห่วงโซ่การติดเชื้อจะส่ง RAT ที่ใช้ JavaScript ซึ่งถูกติดตามในชื่อ DEV#POPPER.js มันให้ความสามารถในการ Remote Code Execution (RCE) แบบเต็มรูปแบบ การเข้าถึงแบบถาวร และความสามารถในการรันคำสั่งต่างๆ บนเวิร์กสเตชันของนักพัฒนาที่ถูกเจาะ eSentire's Threat Response Unit (TRU) ตรวจพบมันในโลกแห่งความจริงที่โจมตีภาคพลังงาน สาธารณูปโภค และของเสียในเดือนกุมภาพันธ์ 2026

OmniStealer (Information Stealer)

ถูกปรับใช้ควบคู่ไปกับ DEV#POPPER โดย OmniStealer จะโจมตีข้อมูลประจำตัวของกระเป๋าเงินคริปโต คีย์ส่วนตัว ข้อมูลประจำตัวที่เก็บไว้ในเบราว์เซอร์ โทเค็นเซสชัน คีย์ API และความลับของ CI/CD อย่างรุนแรง

Payload อื่นๆ

• PylangGhost: Backdoor ที่ใช้ Python ซึ่งเป็นครั้งแรกที่มัลแวร์นี้ถูกแพร่กระจายผ่าน npm packages
• Socket.io backdoor: สร้างการสื่อสาร Reverse-Shell แบบถาวรกับโครงสร้างพื้นฐานของผู้โจมตี

ความเชื่อมโยงกับ Contagious Interview

PolinRider เป็นวิวัฒนาการโดยตรงของแคมเปญ Contagious Interview ในขณะที่ Contagious Interview ก่อนหน้านี้ต้องอาศัยกลอุบายสัมภาษณ์งานปลอมและวิศวกรรมสังคมเพื่อหลอกนักพัฒนาให้ติดตั้งโปรเจกต์ที่ถูกดัดแปลง PolinRider ถือเป็นการเปลี่ยนแปลงไปสู่การประนีประนอมซัพพลายเชนแบบ อัตโนมัติเต็มรูปแบบที่ไม่ต้องใช้วิศวกรรมสังคม

ความแตกต่างและความทับซ้อนที่สำคัญ:

• ทั้งสองแคมเปญใช้ตระกูลมัลแวร์ BeaverTail เดียวกันและโครงสร้างพื้นฐาน C2 ที่ทับซ้อนกัน
• PolinRider/TasksJacker ตัดชั้นทางสังคมออกไปโดยสิ้นเชิง การเจาะเกิดขึ้นโดยอัตโนมัติผ่าน package อันตรายและ VS Code auto-run tasks
• ทั้งสองใช้การดึง payload ผ่าน Blockchain

คำแนะนำในการป้องกัน

จากคำแนะนำของ OpenSourceMalware, Socket Security, Sonatype และนักวิจัยอื่นๆ องค์กรควรดำเนินการดังต่อไปนี้:

การดำเนินการทันที

1. ถือว่าสภาพแวดล้อมที่ได้รับผลกระทบทั้งหมดถูกบุกรุกโดยสมบูรณ์ — ให้สันนิษฐานว่าข้อมูลประจำตัวและความลับถูกขโมยไปจนกว่าจะพิสูจน์ได้เป็นอย่างอื่น
2. ลบ package ที่ได้รับผลกระทบ ออกจาก package.json, go.mod, และไฟล์ lockfile
3. ตรวจสอบกิจกรรมเครือข่ายขาออกทั้งหมด จากเวิร์กสเตชันนักพัฒนา โดยเฉพาะการเชื่อมต่อไปยัง blockchain nodes และ IP ที่ไม่รู้จัก
4. หยุดการทำงานบนโค้ดเบสที่รัน package ที่ได้รับผลกระทบ — ให้ย้อนกลับไปยัง commit ก่อนช่วงเวลาที่ทราบว่าถูกบุกรุก
5. เก็บรักษาหลักฐานทางนิติเวช (บันทึก, ภาพดิสก์) ก่อนดำเนินการแก้ไข

การล้างโค้ดและ Repository

6. สแกนไฟล์ postcss.config.mjs, tailwind.config.js, eslint.config.mjs, next.config.mjs และไฟล์ที่คล้ายกันทั้งหมดเพื่อหา JavaScript ถูกทำให้สับสนที่ถูกต่อท้าย
7. ตรวจสอบไดเรกทอรี .vscode/ เพื่อหา tasks.json ที่ไม่คาดคิดซึ่งมีการตั้งค่าให้ทำงานอัตโนมัติ
8. ตรวจสอบไฟล์ .woff2 และไฟล์ไบนารีอื่นๆ ว่ามี JavaScript ฝังอยู่หรือไม่
9. ตรวจสอบประวัติ Git สำหรับ commit ที่ถูกย้อนเวลาจากผู้เขียนที่ไม่รู้จัก — อย่าเชื่อถือประวัติ commit ที่มองเห็นเพียงอย่างเดียว

การป้องกันในระยะยาว

10. ใช้การกรอง Egress บนเครือข่ายนักพัฒนา เพื่อจำกัดการเชื่อมต่อขาออก
11. ใช้การตรวจสอบความสมบูรณ์ของ Package (lockfile, การตรวจสอบ Checksum,

    npm audit

    , การสแกน socket.dev) ก่อนการติดตั้ง
12. ปิดการทำงานของ VS Code auto-run tasks ในสภาพแวดล้อมการพัฒนาที่ไม่จำเป็นต้องใช้
13. ปรับใช้กฎ Static Analysis — Datadog มีกฎการตรวจจับ PolinRider โดยเฉพาะสำหรับการสแกนความปลอดภัยของโค้ด JavaScript/Node.js
14. ตรวจสอบตัวบ่งชี้ Blockchain ในการทำ C2 — การค้นหา DNS ที่ผิดปกติไปยัง Blockchain API หรือการเชื่อมต่อขาออกที่ไม่ได้มาตรฐานบนเครื่องนักพัฒนา
15. สร้างใหม่จาก lockfile ที่รู้ว่าดีและหมุนเวียนความลับ คีย์ API และคีย์เข้ารหัสทั้งหมด ที่อาจถูกเปิดเผยบนเวิร์กสเตชันที่ได้รับผลกระทบ