PolinRider：北韓黑客嘅驚人供應鏈攻擊 1,951個GitHub倉庫失守

PolinRider呢個行動，可以話係北韓黑客喺開源軟件供應鏈攻擊方面最進取、技術最成熟嘅一次。由OpenSourceMalware喺2026年3月首次發現之後，佢哋迅速擴散到多個套件生態系統同開發者工具鏈，入侵咗接近2,000個GitHub倉庫，仲用區塊鏈技術嚟做指揮控制（C2），令到取締難度大增。^MO

攻擊背後嘅黑手

PolinRider被認定係由北韓（DPRK）發動，同Lazarus集團有密切關係。實際上，佢係更大規模嘅Contagious Interview行動（亦有人叫佢做Famous Chollima）旗下嘅一個子行動。^MT 呢個行動已經同另一個叫TasksJacker嘅行動合併咗，後者專門利用VS Code嘅任務自動執行功能嚟搞搞震。^OG

規模有幾大？

PolinRider嘅規模唔單止大，而且仲喺度快速增長緊：

• 1,951個GitHub倉庫被入侵，屬於1,047個唔同擁有者（截至2026年4月底嘅數字）^IS
• 受影響嘅倉庫數量喺首次公開後五個星期內幾乎翻咗三倍^OS
• 喺成個Contagious Interview行動入面，已經發布咗超過1,700個惡意npm套件^TD

受影響嘅生態系統

呢次攻擊絕對唔只npm咁簡單：

• npm (Node.js)： 主要目標，有幾百個惡意套件，好似dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt同debug-glit呢啲^T
• PyPI (Python)： 有Python套件散佈喺Contagious Interview行動入面^D
• Go (Go Module Mirror)： Socket Security發現咗惡意Go套件^DT
• Packagist (PHP/Composer)： 到2026年7月已經擴展到呢個生態系統^D
• Rust (crates.io)： 都係攻擊目標之一^T
• GitHub Actions同VS Code擴充功能： 透過惡意嘅.vscode/tasks.json檔案同注入嘅CI/CD管線被入侵^DI

呢次行動仲入侵咗好多人用緊嘅Axios npm函式庫（1.14.1同0.30.0版本），喺2026年4月透過一個叫plain-crypto-js嘅惡意依賴搞掂，影響咗大約一億次每週下載。^DC

四階段感染技術

PolinRider嘅感染鏈設計得好精密，總共有四個階段，目的係盡量隱藏行蹤，減少需要受害者互動嘅機會。

第一階段：喺設定檔加入混淆JavaScript

攻擊者會喺開發者常用嘅設定檔尾部，例如postcss.config.mjs、tailwind.config.js、eslint.config.mjs同next.config.mjs呢啲，加上高度混淆嘅JavaScript。^FB 佢哋用大量空白字元將啲惡意程式碼推到好遠嘅右邊，正常編輯器嘅可視範圍根本睇唔到，所以開發者好難喺平時code review嗰陣發現。^DB

第二階段：高明嘅隱藏方法

PolinRider主要用咗三種隱藏技術：

• 假嘅.woff2字型檔： 將混淆JavaScript偽裝成網頁字型檔，呢種二進制格式開發者通常唔會去檢查^TB
• 空白字元填充： 將可執行嘅程式碼推到可視區域好遠嘅右邊^DB
• Git歷史偽造（ForceMemo）： 有一個模組可以改寫Git歷史，將惡意提交嘅日期推返去幾個月之前，令人以為係正常維護者嘅例行更新^OL

第三階段：VS Code任務執行（TasksJacker）

攻擊者會喺倉庫入面植入惡意嘅.vscode/tasks.json檔案。當開發者複製咗有問題嘅倉庫，然後喺VS Code打開嘅時候，呢個任務就會自動執行，完全唔需要開發者再有任何操作。呢個方法完全繞過咗之前Contagious Interview行動需要嘅社交工程步驟。^DIT

第四階段：區塊鏈載荷提取（C2）

解混淆之後嘅JavaScript載荷會去區塊鏈交易紀錄入面讀取加密咗嘅數據，嚟攞下一階段嘅惡意載荷。呢個行動用咗**TRON、Aptos同BSC（BNB Smart Chain）**呢啲區塊鏈網絡做死信C2頻道。^DIB 呢種「以太隱藏」技術令到取締非常困難，因為C2數據係永久留喺公共區塊鏈上面嘅。

傳遞嘅惡意載荷

PolinRider傳遞嘅惡意載荷有幾種，各有唔同功能：

BeaverTail（JavaScript下載器/竊密者）

主要嘅惡意軟件系列係新版本嘅BeaverTail，係一種同北韓行動有關嘅JavaScript惡意軟件。佢負責第一階段嘅下載同憑證收集。^TF

DEV#POPPER.js（遠端訪問木馬）

感染鏈會傳遞一個叫DEV#POPPER.js嘅JavaScript遠端訪問木馬。佢可以完全遙距執行代碼（RCE），建立持續存取，仲可以喺受感染嘅開發者電腦上執行任意指令。eSentire嘅威脅應變部門（TRU）喺2026年2月已經喺能源、公用事業同廢物處理行業嘅客戶電腦上發現佢嘅蹤跡。^IE

OmniStealer（資訊竊取者）

同DEV#POPPER一齊部署嘅OmniStealer，主要目標係加密貨幣錢包嘅憑證、私鑰、瀏覽器儲存嘅登入資料、Session Token、API Key同CI/CD Secrets。^IR

其他載荷

• PylangGhost： 一個Python後門，係第一次見到呢個惡意軟件透過npm套件傳播^T
• Socket.io後門： 建立同攻擊者伺服器嘅持續反向Shell通訊^T

同Contagious Interview嘅關係

PolinRider係Contagious Interview行動嘅直接演化版。Contagious Interview之前主要靠假招聘面試嚟呃開發者安裝有問題嘅程式，但PolinRider就代表咗一個轉變，係完全自動化、唔使社交工程嘅供應鏈攻擊。^MTI

主要分別同共通點：

• 兩個行動都用到BeaverTail呢種惡意軟件，同埋有重疊嘅C2基礎設施^IC
• PolinRider/TasksJacker完全唔使社交工程——只要開發者安裝咗惡意套件，或者VS Code自動執行咗任務，就會中招
• 兩個都用到區塊鏈嚟攞載荷^IC

點樣防禦？

根據OpenSourceMalware、Socket Security、Sonatype等研究機構嘅建議，機構應該做以下措施：

立即行動

1. 將任何受影響嘅環境當作完全被入侵——假設所有憑證同機密都已經洩漏，直到證明冇事^IS
2. 移除受影響嘅套件，包括package.json、go.mod同lockfile入面嘅^SG
3. 檢查所有開發者電腦嘅對外網絡活動，特別係連去區塊鏈節點同唔明IP地址嘅連線^SG
4. 暫停任何執行過受影響套件嘅程式碼開發——將程式碼還原到已知被入侵之前嘅版本^S
5. 保留法證證據（日誌、磁碟映像）之後先做修復^I

程式碼同倉庫清理

6. **檢查所有postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs**呢類檔案，睇下有冇加咗混淆JavaScript^FB
7. 檢查.vscode/目錄，睇下有冇唔應該出現嘅tasks.json同自動執行設定^DI
8. 檢查.woff2同其他二進制資源檔，睇下有冇嵌入JavaScript^TB
9. 審查Git歷史，睇下有冇來自不明作者嘅倒填日期提交——唔好信晒表面上睇到嘅提交歷史^O

長期加強防護

10. 喺開發者網絡實施出口過濾，限制唔必要嘅對外連線^G
11. 安裝前驗證套件完整性（lockfile、checksum驗證、npm audit、socket.dev掃描）^G
12. 喺開發環境關閉VS Code自動執行任務，除非真係需要^DI
13. 部署靜態分析規則——Datadog已經提供咗專門畀JavaScript/Node.js代碼安全掃描嘅PolinRider偵測規則^D
14. 監察區塊鏈C2跡象——開發者電腦有冇唔尋常嘅DNS查詢去區塊鏈API，或者非標準嘅對外連線^I
15. 從已知乾淨嘅lockfile重建，同時更換所有可能已經洩漏嘅Secrets、API Key同加密金鑰^IS