攻击规模与涉及生态

截至2026年4月底，这场攻击的规模已达历史罕见：

• 1,951个被篡改的GitHub仓库，分属于1,047个独立所有者 ；
• 在最初披露后的五周内，受感染仓库数量几乎翻了三倍 ；
• 在更广泛的Contagious Interview行动中，累计发布了超过1,700个恶意npm包 。

已确认的目标生态

• npm（Node.js）： 主要攻击入口，存在大量恶意包，如 dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt、debug-glit 等
• PyPI（Python）： Contagious Interview行动的一部分
• Go（Go Module Mirror）： Socket Security等厂商已识别出恶意Go模块
• Packagist（PHP/Composer）： 2026年7月扩展至此生态
• Rust（crates.io）： 已被纳入攻击范围
• GitHub Actions和VS Code扩展： 通过恶意.vscode/tasks.json文件及CI/CD管道注入

此外，攻击者还成功攻陷了知名JS库Axios的npm版本（1.14.1和0.30.0），插入名为plain-crypto-js的恶意依赖，该库的周下载量约为1亿次，影响范围极为广泛 。

四阶段感染技术

阶段一：配置文件尾部注入混淆JavaScript

攻击者在合法配置文件（如 postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs）的末尾追加大量高度混淆的JavaScript代码 。这些恶意行被大量空白字符填充，将代码推出默认IDE可视区域，因此开发者在浏览时很难发现异常 。

阶段二：三大隐匿技术

• 假 .woff2 字体文件： 将混淆后的JavaScript伪装成网页字体文件，绝大多数开发者从不检查此类二进制资源
• 空白填充： 将可执行代码行用大量空格推到视图右端
• Git历史篡改（ForceMemo模块）： 重写Git记录，将恶意提交时间伪造成几个月前的日常维护提交，让审计者难以追踪

阶段三：VS Code任务自动执行（TasksJacker）

攻击者在仓库中注入恶意的 .vscode/tasks.json 文件。当开发者克隆被篡改的仓库并在 VS Code 中打开时，该任务会在无任何用户交互的情况下自动执行。这完全绕过了早期Contagious Interview行动中依赖的社会工程诱导环节 。

阶段四：基于区块链的载荷获取（C2）

反混淆后的JS加载器通过读取嵌入在加密货币区块链交易中的加密数据来获取下一阶段载荷。该行动使用**TRON、Aptos和BNB智能链（BSC）**这些区块链网络作为死信存储型C2通道 。这种“etherhiding”技术使封锁极其困难，因为C2数据存在于不可篡改的公有区块链上。

主要恶意载荷

BeaverTail（基于JavaScript的下载器/信息窃取器）

这是PolinRider主要投递的恶意软件家族，属于已知且被认定为与朝鲜行动关联的JS恶意软件。它充当第一阶段的下载器及凭据盗取工具 。

DEV#POPPER.js（远程访问木马）

该行动还会投递一款被称为DEV#POPPER.js的JavaScript远程访问木马。它能提供完整的远程代码执行（RCE）、持久化访问，并在目标工作站上运行任意命令。eSentire的威胁响应团队（TRU）已于2026年2月在能源、公用事业和废物处理行业中发现真实攻击案例 。

OmniStealer（信息窃取器）

与DEV#POPPER配合部署的OmniStealer，主要针对加密货币钱包凭据、私钥、浏览器存储的凭据、会话令牌、API密钥以及CI/CD机密信息 。

其它载荷

• PylangGhost： 一款基于Python的后门，这是首次通过npm包传播此类恶意软件
• Socket.io后门： 建立持久化的反向shell通信通道，连接攻击者基础设施

与Contagious Interview的联系

PolinRider是Contagious Interview行动的直接操作演化版本。原先的Contagious Interview依赖伪造的“面试邀约”、社会工程等手段诱骗开发者安装带木马的项目。而PolinRider代表了向完全自动化、无需社交工程的供应链攻击的重大转变 。

关键异同点：

• 两者共享相同的BeaverTail恶意软件家族和部分重合的C2基础设施
• PolinRider/TasksJacker完全去除了社交交互环节——开发者通过恶意包和VS Code自动任务即可在不知情下被入侵
• 两者都使用区块链技术实现载荷投递

防御建议

根据OpenSourceMalware、Socket Security、Sonatype等厂商的指南，企业和个人开发者应立即采取以下措施：

立即行动

1. 将受影响环境视为完全沦陷——在证明安全前，默认所有凭据和机密数据已被窃取
2. 从 package.json、go.mod 和锁定文件中删除受影响包
3. 审查开发者工作站的所有出站流量，尤其留意连接区块链节点或未知IP的行为
4. 暂停在受影响代码库上的任何工作——回滚到已知恶意窗口之前的提交
5. 在进行修复前保留日志和磁盘镜像等取证证据

代码与仓库清理

6. 扫描所有 postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs 等文件，检查是否被追加了混淆JS
7. 检查 .vscode/ 目录是否存在异常的 tasks.json 自动运行配置
8. 审查 .woff2 及其他二进制资源文件 中是否嵌入了JavaScript代码
9. 审计Git历史中是否存在来自未知作者、且日期被篡改的提交——不要盲目信任可见的提交历史

长期加固

10. 在开发者网络实施出口过滤，限制不必要的出站连接
11. 使用包完整性验证（锁定文件、校验和验证、npm audit、socket.dev 扫描）再安装包
12. 在不需要自动执行任务的环境中禁用VS Code自动运行功能
13. 部署静态分析规则——Datadog已提供专门的PolinRider检测规则用于JavaScript/Node.js安全扫描
14. 监控基于区块链的C2指标——开发者机器上对区块链API或非常规出站的异常DNS查询
15. 从已知安全的锁定文件重建环境，并轮换所有可能暴露的密钥、API令牌和加密密钥

攻击规模与涉及生态

截至2026年4月底，这场攻击的规模已达历史罕见：

• 1,951个被篡改的GitHub仓库，分属于1,047个独立所有者 ；
• 在最初披露后的五周内，受感染仓库数量几乎翻了三倍 ；
• 在更广泛的Contagious Interview行动中，累计发布了超过1,700个恶意npm包 。

已确认的目标生态

• npm（Node.js）： 主要攻击入口，存在大量恶意包，如 dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt、debug-glit 等
• PyPI（Python）： Contagious Interview行动的一部分
• Go（Go Module Mirror）： Socket Security等厂商已识别出恶意Go模块
• Packagist（PHP/Composer）： 2026年7月扩展至此生态
• Rust（crates.io）： 已被纳入攻击范围
• GitHub Actions和VS Code扩展： 通过恶意.vscode/tasks.json文件及CI/CD管道注入

此外，攻击者还成功攻陷了知名JS库Axios的npm版本（1.14.1和0.30.0），插入名为plain-crypto-js的恶意依赖，该库的周下载量约为1亿次，影响范围极为广泛 。

四阶段感染技术

阶段一：配置文件尾部注入混淆JavaScript

攻击者在合法配置文件（如 postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs）的末尾追加大量高度混淆的JavaScript代码 。这些恶意行被大量空白字符填充，将代码推出默认IDE可视区域，因此开发者在浏览时很难发现异常 。

阶段二：三大隐匿技术

• 假 .woff2 字体文件： 将混淆后的JavaScript伪装成网页字体文件，绝大多数开发者从不检查此类二进制资源
• 空白填充： 将可执行代码行用大量空格推到视图右端
• Git历史篡改（ForceMemo模块）： 重写Git记录，将恶意提交时间伪造成几个月前的日常维护提交，让审计者难以追踪

阶段三：VS Code任务自动执行（TasksJacker）

攻击者在仓库中注入恶意的 .vscode/tasks.json 文件。当开发者克隆被篡改的仓库并在 VS Code 中打开时，该任务会在无任何用户交互的情况下自动执行。这完全绕过了早期Contagious Interview行动中依赖的社会工程诱导环节 。

阶段四：基于区块链的载荷获取（C2）

反混淆后的JS加载器通过读取嵌入在加密货币区块链交易中的加密数据来获取下一阶段载荷。该行动使用**TRON、Aptos和BNB智能链（BSC）**这些区块链网络作为死信存储型C2通道 。这种“etherhiding”技术使封锁极其困难，因为C2数据存在于不可篡改的公有区块链上。

主要恶意载荷

BeaverTail（基于JavaScript的下载器/信息窃取器）

这是PolinRider主要投递的恶意软件家族，属于已知且被认定为与朝鲜行动关联的JS恶意软件。它充当第一阶段的下载器及凭据盗取工具 。

DEV#POPPER.js（远程访问木马）

该行动还会投递一款被称为DEV#POPPER.js的JavaScript远程访问木马。它能提供完整的远程代码执行（RCE）、持久化访问，并在目标工作站上运行任意命令。eSentire的威胁响应团队（TRU）已于2026年2月在能源、公用事业和废物处理行业中发现真实攻击案例 。

OmniStealer（信息窃取器）

与DEV#POPPER配合部署的OmniStealer，主要针对加密货币钱包凭据、私钥、浏览器存储的凭据、会话令牌、API密钥以及CI/CD机密信息 。

其它载荷

• PylangGhost： 一款基于Python的后门，这是首次通过npm包传播此类恶意软件
• Socket.io后门： 建立持久化的反向shell通信通道，连接攻击者基础设施

与Contagious Interview的联系

PolinRider是Contagious Interview行动的直接操作演化版本。原先的Contagious Interview依赖伪造的“面试邀约”、社会工程等手段诱骗开发者安装带木马的项目。而PolinRider代表了向完全自动化、无需社交工程的供应链攻击的重大转变 。

关键异同点：

• 两者共享相同的BeaverTail恶意软件家族和部分重合的C2基础设施
• PolinRider/TasksJacker完全去除了社交交互环节——开发者通过恶意包和VS Code自动任务即可在不知情下被入侵
• 两者都使用区块链技术实现载荷投递

防御建议

根据OpenSourceMalware、Socket Security、Sonatype等厂商的指南，企业和个人开发者应立即采取以下措施：

立即行动

1. 将受影响环境视为完全沦陷——在证明安全前，默认所有凭据和机密数据已被窃取
2. 从 package.json、go.mod 和锁定文件中删除受影响包
3. 审查开发者工作站的所有出站流量，尤其留意连接区块链节点或未知IP的行为
4. 暂停在受影响代码库上的任何工作——回滚到已知恶意窗口之前的提交
5. 在进行修复前保留日志和磁盘镜像等取证证据

代码与仓库清理

6. 扫描所有 postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs 等文件，检查是否被追加了混淆JS
7. 检查 .vscode/ 目录是否存在异常的 tasks.json 自动运行配置
8. 审查 .woff2 及其他二进制资源文件 中是否嵌入了JavaScript代码
9. 审计Git历史中是否存在来自未知作者、且日期被篡改的提交——不要盲目信任可见的提交历史

长期加固

10. 在开发者网络实施出口过滤，限制不必要的出站连接
11. 使用包完整性验证（锁定文件、校验和验证、npm audit、socket.dev 扫描）再安装包
12. 在不需要自动执行任务的环境中禁用VS Code自动运行功能
13. 部署静态分析规则——Datadog已提供专门的PolinRider检测规则用于JavaScript/Node.js安全扫描
14. 监控基于区块链的C2指标——开发者机器上对区块链API或非常规出站的异常DNS查询
15. 从已知安全的锁定文件重建环境，并轮换所有可能暴露的密钥、API令牌和加密密钥