PolinRider: Kuzey Kore Bağlantılı Tedarik Zinciri Saldırısı 1.951 GitHub Deposunu Ele Geçirdi

PolinRider kampanyası, Kuzey Kore'ye atfedilen en agresif ve teknik olarak en gelişmiş açık kaynak tedarik zinciri saldırılarından biridir. OpenSourceMalware tarafından Mart 2026'da ilk kez tespit edilen bu kampanya, birden fazla paket ekosistemine ve geliştirici araç zincirine hızla yayılarak yaklaşık 2.000 GitHub deposunu tehlikeye atmış ve komuta kontrol (C2) için blockchain teknolojisini kullanmıştır .

Hedef ve Kampanya Kimliği

PolinRider, Demokratik Kore Halk Cumhuriyeti'ne (DPRK) atfedilmekte ve Lazarus Grubu ile ilişkilendirilmektedir. Daha geniş kapsamlı Contagious Interview kümesinin (Famous Chollima olarak da bilinir) bir alt kampanyası olarak faaliyet göstermektedir . Kampanya, VS Code görev otomasyonunu kötüye kullanan TasksJacker kampanyasıyla operasyonel olarak birleşmiştir .

Kapsam ve Boyut

PolinRider'ın etki alanı geniş ve hızla büyümektedir:

• Nisan 2026 sonu itibarıyla 1.047 farklı sahibe ait 1.951 ele geçirilmiş GitHub deposu
• Etkilenen depo sayısı, ilk duyurudan sonraki beş hafta içinde yaklaşık üç katına çıkmıştır
• Daha geniş Contagious Interview operasyonu kapsamında 1.700'den fazla kötü niyetli npm paketi yayınlanmıştır

Hedef Alınan Ekosistemler

Kampanya, ilk vektörü olan npm'in çok ötesine yayılmıştır:

• npm (Node.js): Yüzlerce kötü niyetli paketle birincil hedef. dev-log-core, logger-base, logkitx, pino-debugger, debug-fmt ve debug-glit gibi paketler buna dahildir
• PyPI (Python): Contagious Interview operasyonunun bir parçası olarak dağıtılan Python paketleri
• Go (Go Module Mirror): Socket Security tarafından tespit edilen kötü niyetli Go paketleri
• Packagist (PHP/Composer): Temmuz 2026 itibarıyla bu ekosisteme de sıçramıştır
• Rust (crates.io): Daha geniş kampanyada hedef alınmıştır
• GitHub Actions ve VS Code eklentileri: Kötü niyetli .vscode/tasks.json dosyaları ve bulaştırılmış CI pipeline'ları aracılığıyla tehlikeye atılmıştır

Kampanya ayrıca, Nisan 2026'da plain-crypto-js adlı kötü niyetli bir bağımlılık aracılığıyla yaygın olarak kullanılan Axios npm kütüphanesinin (sürüm 1.14.1 ve 0.30.0) bazı sürümlerini de ele geçirmiş ve haftalık yaklaşık 100 milyon indirmeyi etkilemiştir .

Çok Aşamalı Bulaşma Tekniği

PolinRider enfeksiyon zinciri, gizliliği en üst düzeye çıkarmak ve kurban etkileşimini en aza indirmek için dikkatlice düzenlenmiş dört aşamalı bir süreçtir.

Aşama 1: Yapılandırma Dosyalarında Gizlenmiş JavaScript Yükleyicileri

Saldırganlar, postcss.config.mjs, tailwind.config.js, eslint.config.mjs ve next.config.mjs gibi meşru geliştirici yapılandırma dosyalarının sonuna ağır şekilde gizlenmiş JavaScript kodları eklerler . Kötü niyetli satırlar, fazladan boşluklarla doldurularak kodun varsayılan IDE görüntüleme genişliğinin ötesine itilir ve bu da kod incelemesi sırasında görünmez olmasını sağlar .

Aşama 2: Gelişmiş Gizleme Yöntemleri

PolinRider üç ana gizleme tekniği kullanır:

• Sahte .woff2 yazı tipi dosyaları: Gizlenmiş JavaScript, çoğu geliştiricinin incelemediği bir ikili dosya biçimi olan web yazı tipi dosyası gibi gizlenir
• Boşluk doldurma: Çalıştırılabilir satırlar, görünür görüntü alanının çok sağına kaydırılır
• Git geçmişi sahteciliği (ForceMemo): Git geçmişini yeniden yazarak kötü niyetli işlemleri aylar öncesine tarihler ve meşru bakımcıların rutin bakımı gibi gösterir

Aşama 3: VS Code Görev Yürütme (TasksJacker)

Depolara kötü niyetli .vscode/tasks.json dosyaları enjekte edilir. Bir geliştirici, ele geçirilmiş bir depoyu klonlayıp VS Code'da açtığında, görev otomatik olarak ve hiçbir kullanıcı etkileşimi olmadan çalışır. Bu, önceki Contagious Interview kampanyalarında kullanılan sosyal mühendislik adımını tamamen ortadan kaldırır .

Aşama 4: Blockchain Tabanlı Yük Alm (C2)

Gizlenmiş JavaScript yükleyici, bir sonraki aşama yükünü, kripto para blockchain işlemlerine gömülü şifrelenmiş verileri okuyarak alır. Kampanya, TRON, Aptos ve BSC (BNB Smart Chain) blockchain ağlarını ölü posta kutusu C2 kanalları olarak kullanır . Bu "etherhiding" tekniği, C2 verileri halka açık blockchain'lerde değiştirilemez bir şekilde bulunduğundan, kapatmayı son derece zorlaştırır.

Dağıtılan Kötü Amaçlı Yazılım Yükleri

PolinRider, her biri belirli yeteneklere sahip bir dizi kötü amaçlı yük dağıtır:

BeaverTail (JavaScript Tabanlı İndirici/Bilgi Çalıcı)

Dağıtılan birincil kötü amaçlı yazılım ailesi, DPRK operasyonlarıyla ilişkili, JavaScript tabanlı bir kötü amaçlı yazılım olan BeaverTail'in yeni bir çeşididir. İlk aşama indirici ve kimlik bilgisi toplayıcı görevi görür .

DEV#POPPER.js (Uzaktan Erişim Truva Atı)

Enfeksiyon zinciri, DEV#POPPER.js olarak takip edilen JavaScript tabanlı bir RAT dağıtır. Bu yazılım, tam uzaktan kod yürütme (RCE), kalıcı erişim ve ele geçirilmiş geliştirici iş istasyonunda rastgele komutlar çalıştırma yeteneği sağlar. eSentire'nin Tehdit Müdahale Birimi (TRU), Şubat 2026'da Enerji, Kamu Hizmetleri ve Atık sektörünü hedef alan bu yazılımı tespit etmiştir .

OmniStealer (Bilgi Çalıcı)

DEV#POPPER ile birlikte dağıtılan OmniStealer, agresif bir şekilde kripto para cüzdanı kimlik bilgilerini, özel anahtarları, tarayıcıda saklanan kimlik bilgilerini, oturum belirteçlerini, API anahtarlarını ve CI/CD sırlarını hedef alır .

Diğer Yükler

• PylangGhost: Python tabanlı bir arka kapı. Bu kötü amaçlı yazılımın ilk kez npm paketleri aracılığıyla yayılmasıdır
• Socket.io arka kapısı: Saldırı altyapısıyla kalıcı ters kabuk iletişimi kurar

Contagious Interview ile Bağlantı

PolinRider, Contagious Interview kampanyasının doğrudan operasyonel bir evrimidir. Contagious Interview geçmişte sahte iş görüşmesi yemleri ve sosyal mühendislik kullanarak geliştiricileri truva atı yerleştirilmiş projeleri yüklemeye ikna ederken, PolinRider tamamen otomatik, sosyal mühendislik gerektirmeyen tedarik zinciri tehlikeye atmaya doğru bir geçişi temsil etmektedir .

Temel farklılıklar ve örtüşmeler şunlardır:

• Her iki kampanya da aynı BeaverTail kötü amaçlı yazılım ailesini ve örtüşen C2 altyapısını paylaşmaktadır
• PolinRider/TasksJacker, sosyal katmanı tamamen ortadan kaldırır; tehlike, kötü niyetli paketler ve VS Code otomatik çalıştırma görevleri aracılığıyla otomatik olarak gerçekleşir
• Her ikisi de blockchain tabanlı yük alma kullanmaktadır

Önerilen Savunma Önlemleri

OpenSourceMalware, Socket Security, Sonatype ve diğer araştırmacıların rehberliğine dayanarak kuruluşların aşağıdaki adımları atması gerekir:

Acil Eylemler

1. Etkilenen tüm ortamları tamamen ele geçirilmiş olarak kabul edin — aksi kanıtlanana kadar kimlik bilgilerinin ve sırların çalındığını varsayın
2. Etkilenen paketleri package.json, go.mod ve kilit dosyalarından kaldırın
3. Geliştirici iş istasyonlarındaki tüm giden ağ etkinliklerini, özellikle blockchain düğümlerine ve bilinmeyen IP'lere yapılan bağlantıları inceleyin
4. Etkilenen bir paketi çalıştıran herhangi bir kod tabanında çalışmayı durdurun — bilinen tehlike penceresinden önceki işlemlere geri dönün
5. Düzeltme öncesinde adli kanıtları (günlükler, disk görüntüleri) koruyun

Kod ve Depo Temizliği

6. Tüm postcss.config.mjs, tailwind.config.js, eslint.config.mjs ve next.config.mjs benzeri dosyaları, eklenmiş gizlenmiş JavaScript için tarayın
7. .vscode/ dizinlerini, otomatik çalıştırma yapılandırmalarına sahip beklenmedik tasks.json dosyaları için inceleyin
8. .woff2 ve diğer ikili varlık dosyalarını gömülü JavaScript için gözden geçirin
9. Git geçmişini, bilinmeyen yazarlardan gelen geçmiş tarihli işlemler için denetleyin — görünür işlem geçmişine tek başına güvenmeyin

Uzun Vadeli Güçlendirme

10. Geliştirici ağlarında çıkış filtrelemesi uygulayarak giden bağlantıları kısıtlayın
11. Kurulumdan önce paket bütünlüğü doğrulaması kullanın (kilit dosyaları, sağlama toplamı doğrulaması,

    npm audit

    , socket.dev taraması)
12. Açıkça gerekli olmadıkça geliştirme ortamlarında VS Code otomatik çalıştırma görevlerini devre dışı bırakın
13. Statik analiz kuralları dağıtın — Datadog, JavaScript/Node.js kod güvenliği taraması için özel bir PolinRider algılama kuralı sunmaktadır
14. Blockchain tabanlı C2 göstergelerini izleyin — geliştirici makinelerinde blockchain API'lerine yapılan olağandışı DNS sorguları veya standart olmayan giden bağlantılar
15. Bilinen iyi kilit dosyalarından yeniden derleyin ve etkilenmiş olabilecek tüm sırları, API anahtarlarını ve kriptografik anahtarları yenileyin