PolinRider係北韓（Lazarus / Contagious Interview組織）發動嘅供應鏈攻擊行動，截至2026年4月底已經入侵咗1,951個GitHub倉庫，涉及1,047個唔同擁有者，數量喺五個星期內幾乎翻咗三倍。 攻擊者利用npm、PyPI、Go、Packagist（PHP）同Rust等多個套件生態系統，發布超過1,700個惡意npm套件，仲入侵咗每週下載量約一億次嘅Axios函式庫。 感染鏈分四個階段：喺開發者設定檔植入混淆JavaScript、偽裝成.woff2字型檔或利用空白字元隱藏、透過VS Code tasks.json自動執行、再從TRON/Aptos/BSC等區塊鏈網絡提取惡意載荷。 主要惡意軟件包括BeaverTail（JavaScript下載器/竊密者）、DEV POPPER.js（遠端訪問木馬）同OmniStealer（專門偷加密貨幣錢包同憑證），仲有PylangGhost後門同Socket.io反向Shell。 Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers, An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems. AI 提示 Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com PolinRider呢個行動，可以話係北韓黑客喺開源軟件供應鏈攻擊方面最進取、技術最成熟嘅一次。由OpenSourceMalware喺2026年3月首次發現之後，佢哋迅速擴散到多個套件生態系統同開發者工具鏈，入侵咗接近2,000個GitHub倉庫，仲用區塊鏈技術嚟做指揮控制（C2），令到取締難度大增。
攻擊背後嘅黑手
PolinRider被認定係由北韓（DPRK）發動，同Lazarus集團有密切關係。實際上，佢係更大規模嘅Contagious Interview 行動（亦有人叫佢做Famous Chollima）旗下嘅一個子行動。
人們還問 「PolinRider：北韓黑客嘅驚人供應鏈攻擊 1,951個GitHub倉庫失守」的簡短答案是什麼？ PolinRider係北韓（Lazarus / Contagious Interview組織）發動嘅供應鏈攻擊行動，截至2026年4月底已經入侵咗1,951個GitHub倉庫，涉及1,047個唔同擁有者，數量喺五個星期內幾乎翻咗三倍。
首先要驗證的關鍵點是什麼？ PolinRider係北韓（Lazarus / Contagious Interview組織）發動嘅供應鏈攻擊行動，截至2026年4月底已經入侵咗1,951個GitHub倉庫，涉及1,047個唔同擁有者，數量喺五個星期內幾乎翻咗三倍。 攻擊者利用npm、PyPI、Go、Packagist（PHP）同Rust等多個套件生態系統，發布超過1,700個惡意npm套件，仲入侵咗每週下載量約一億次嘅Axios函式庫。
接下來在實務上我該做什麼？ 感染鏈分四個階段：喺開發者設定檔植入混淆JavaScript、偽裝成.woff2字型檔或利用空白字元隱藏、透過VS Code tasks.json自動執行、再從TRON/Aptos/BSC等區塊鏈網絡提取惡意載荷。
PolinRider係北韓（Lazarus / Contagious Interview組織）發動嘅供應鏈攻擊行動，截至2026年4月底已經入侵咗1,951個GitHub倉庫，涉及1,047個唔同擁有者，數量喺五個星期內幾乎翻咗三倍。 攻擊者利用npm、PyPI、Go、Packagist（PHP）同Rust等多個套件生態系統，發布超過1,700個惡意npm套件，仲入侵咗每週下載量約一億次嘅Axios函式庫。 感染鏈分四個階段：喺開發者設定檔植入混淆JavaScript、偽裝成.woff2字型檔或利用空白字元隱藏、透過VS Code tasks.json自動執行、再從TRON/Aptos/BSC等區塊鏈網絡提取惡意載荷。 主要惡意軟件包括BeaverTail（JavaScript下載器/竊密者）、DEV POPPER.js（遠端訪問木馬）同OmniStealer（專門偷加密貨幣錢包同憑證），仲有PylangGhost後門同Socket.io反向Shell。 Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers, An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems. AI 提示 Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com PolinRider呢個行動，可以話係北韓黑客喺開源軟件供應鏈攻擊方面最進取、技術最成熟嘅一次。由OpenSourceMalware喺2026年3月首次發現之後，佢哋迅速擴散到多個套件生態系統同開發者工具鏈，入侵咗接近2,000個GitHub倉庫，仲用區塊鏈技術嚟做指揮控制（C2），令到取締難度大增。
攻擊背後嘅黑手
PolinRider被認定係由北韓（DPRK）發動，同Lazarus集團有密切關係。實際上，佢係更大規模嘅Contagious Interview 行動（亦有人叫佢做Famous Chollima）旗下嘅一個子行動。
人們還問 「PolinRider：北韓黑客嘅驚人供應鏈攻擊 1,951個GitHub倉庫失守」的簡短答案是什麼？ PolinRider係北韓（Lazarus / Contagious Interview組織）發動嘅供應鏈攻擊行動，截至2026年4月底已經入侵咗1,951個GitHub倉庫，涉及1,047個唔同擁有者，數量喺五個星期內幾乎翻咗三倍。
首先要驗證的關鍵點是什麼？ PolinRider係北韓（Lazarus / Contagious Interview組織）發動嘅供應鏈攻擊行動，截至2026年4月底已經入侵咗1,951個GitHub倉庫，涉及1,047個唔同擁有者，數量喺五個星期內幾乎翻咗三倍。 攻擊者利用npm、PyPI、Go、Packagist（PHP）同Rust等多個套件生態系統，發布超過1,700個惡意npm套件，仲入侵咗每週下載量約一億次嘅Axios函式庫。
接下來在實務上我該做什麼？ 感染鏈分四個階段：喺開發者設定檔植入混淆JavaScript、偽裝成.woff2字型檔或利用空白字元隱藏、透過VS Code tasks.json自動執行、再從TRON/Aptos/BSC等區塊鏈網絡提取惡意載荷。
TasksJacker
規模有幾大？ PolinRider嘅規模唔單止大，而且仲喺度快速增長緊：
1,951個GitHub倉庫 被入侵，屬於1,047個唔同擁有者 （截至2026年4月底嘅數字）受影響嘅倉庫數量喺首次公開後五個星期內幾乎翻咗三倍
喺成個Contagious Interview行動入面，已經發布咗超過1,700個惡意npm套件
受影響嘅生態系統
npm (Node.js)： 主要目標，有幾百個惡意套件，好似dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt同debug-glit呢啲PyPI (Python)： 有Python套件散佈喺Contagious Interview行動入面Go (Go Module Mirror)： Socket Security發現咗惡意Go套件Packagist (PHP/Composer)： 到2026年7月已經擴展到呢個生態系統Rust (crates.io)： 都係攻擊目標之一GitHub Actions同VS Code擴充功能： 透過惡意嘅.vscode/tasks.json檔案同注入嘅CI/CD管線被入侵 呢次行動仲入侵咗好多人用緊嘅Axios npm函式庫（1.14.1同0.30.0版本），喺2026年4月透過一個叫plain-crypto-js嘅惡意依賴搞掂，影響咗大約一億次每週下載。
四階段感染技術 PolinRider嘅感染鏈設計得好精密，總共有四個階段，目的係盡量隱藏行蹤，減少需要受害者互動嘅機會。
第一階段：喺設定檔加入混淆JavaScript
第二階段：高明嘅隱藏方法
假嘅.woff2字型檔： 將混淆JavaScript偽裝成網頁字型檔，呢種二進制格式開發者通常唔會去檢查空白字元填充： 將可執行嘅程式碼推到可視區域好遠嘅右邊Git歷史偽造（ForceMemo）： 有一個模組可以改寫Git歷史，將惡意提交嘅日期推返去幾個月之前，令人以為係正常維護者嘅例行更新
第三階段：VS Code任務執行（TasksJacker）
第四階段：區塊鏈載荷提取（C2）
傳遞嘅惡意載荷 PolinRider傳遞嘅惡意載荷有幾種，各有唔同功能：
BeaverTail（JavaScript下載器/竊密者） 主要嘅惡意軟件系列係新版本嘅BeaverTail ，係一種同北韓行動有關嘅JavaScript惡意軟件。佢負責第一階段嘅下載同憑證收集。
DEV#POPPER.js（遠端訪問木馬） 感染鏈會傳遞一個叫DEV#POPPER.js 嘅JavaScript遠端訪問木馬。佢可以完全遙距執行代碼（RCE），建立持續存取，仲可以喺受感染嘅開發者電腦上執行任意指令。eSentire嘅威脅應變部門（TRU）喺2026年2月已經喺能源、公用事業同廢物處理行業嘅客戶電腦上發現佢嘅蹤跡。
OmniStealer（資訊竊取者） 同DEV#POPPER一齊部署嘅OmniStealer ，主要目標係加密貨幣錢包嘅憑證、私鑰、瀏覽器儲存嘅登入資料、Session Token、API Key同CI/CD Secrets。
其他載荷
PylangGhost： 一個Python後門，係第一次見到呢個惡意軟件透過npm套件傳播Socket.io後門： 建立同攻擊者伺服器嘅持續反向Shell通訊
同Contagious Interview嘅關係
兩個行動都用到BeaverTail呢種惡意軟件，同埋有重疊嘅C2基礎設施
PolinRider/TasksJacker完全唔使社交工程——只要開發者安裝咗惡意套件，或者VS Code自動執行咗任務，就會中招
兩個都用到區塊鏈嚟攞載荷
點樣防禦？ 根據OpenSourceMalware、Socket Security、Sonatype等研究機構嘅建議，機構應該做以下措施：
立即行動
將任何受影響嘅環境當作完全被入侵 ——假設所有憑證同機密都已經洩漏，直到證明冇事移除受影響嘅套件 ，包括package.json、go.mod同lockfile入面嘅檢查所有開發者電腦嘅對外網絡活動 ，特別係連去區塊鏈節點同唔明IP地址嘅連線暫停任何執行過受影響套件嘅程式碼開發 ——將程式碼還原到已知被入侵之前嘅版本保留法證證據 （日誌、磁碟映像）之後先做修復
程式碼同倉庫清理
**檢查所有postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs**呢類檔案，睇下有冇加咗混淆JavaScript
檢查.vscode/目錄 ，睇下有冇唔應該出現嘅tasks.json同自動執行設定檢查.woff2同其他二進制資源檔 ，睇下有冇嵌入JavaScript審查Git歷史 ，睇下有冇來自不明作者嘅倒填日期提交——唔好信晒表面上睇到嘅提交歷史
長期加強防護
喺開發者網絡實施出口過濾 ，限制唔必要嘅對外連線安裝前驗證套件完整性 （lockfile、checksum驗證、npm audit、socket.dev掃描）喺開發環境關閉VS Code自動執行任務 ，除非真係需要部署靜態分析規則 ——Datadog已經提供咗專門畀JavaScript/Node.js代碼安全掃描嘅PolinRider偵測規則監察區塊鏈C2跡象 ——開發者電腦有冇唔尋常嘅DNS查詢去區塊鏈API，或者非標準嘅對外連線從已知乾淨嘅lockfile重建，同時更換所有可能已經洩漏嘅Secrets、API Key同加密金鑰 PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
TasksJacker
規模有幾大？ PolinRider嘅規模唔單止大，而且仲喺度快速增長緊：
1,951個GitHub倉庫 被入侵，屬於1,047個唔同擁有者 （截至2026年4月底嘅數字）受影響嘅倉庫數量喺首次公開後五個星期內幾乎翻咗三倍
喺成個Contagious Interview行動入面，已經發布咗超過1,700個惡意npm套件
受影響嘅生態系統
npm (Node.js)： 主要目標，有幾百個惡意套件，好似dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt同debug-glit呢啲PyPI (Python)： 有Python套件散佈喺Contagious Interview行動入面Go (Go Module Mirror)： Socket Security發現咗惡意Go套件Packagist (PHP/Composer)： 到2026年7月已經擴展到呢個生態系統Rust (crates.io)： 都係攻擊目標之一GitHub Actions同VS Code擴充功能： 透過惡意嘅.vscode/tasks.json檔案同注入嘅CI/CD管線被入侵 呢次行動仲入侵咗好多人用緊嘅Axios npm函式庫（1.14.1同0.30.0版本），喺2026年4月透過一個叫plain-crypto-js嘅惡意依賴搞掂，影響咗大約一億次每週下載。
四階段感染技術 PolinRider嘅感染鏈設計得好精密，總共有四個階段，目的係盡量隱藏行蹤，減少需要受害者互動嘅機會。
第一階段：喺設定檔加入混淆JavaScript
第二階段：高明嘅隱藏方法
假嘅.woff2字型檔： 將混淆JavaScript偽裝成網頁字型檔，呢種二進制格式開發者通常唔會去檢查空白字元填充： 將可執行嘅程式碼推到可視區域好遠嘅右邊Git歷史偽造（ForceMemo）： 有一個模組可以改寫Git歷史，將惡意提交嘅日期推返去幾個月之前，令人以為係正常維護者嘅例行更新
第三階段：VS Code任務執行（TasksJacker）
第四階段：區塊鏈載荷提取（C2）
傳遞嘅惡意載荷 PolinRider傳遞嘅惡意載荷有幾種，各有唔同功能：
BeaverTail（JavaScript下載器/竊密者） 主要嘅惡意軟件系列係新版本嘅BeaverTail ，係一種同北韓行動有關嘅JavaScript惡意軟件。佢負責第一階段嘅下載同憑證收集。
DEV#POPPER.js（遠端訪問木馬） 感染鏈會傳遞一個叫DEV#POPPER.js 嘅JavaScript遠端訪問木馬。佢可以完全遙距執行代碼（RCE），建立持續存取，仲可以喺受感染嘅開發者電腦上執行任意指令。eSentire嘅威脅應變部門（TRU）喺2026年2月已經喺能源、公用事業同廢物處理行業嘅客戶電腦上發現佢嘅蹤跡。
OmniStealer（資訊竊取者） 同DEV#POPPER一齊部署嘅OmniStealer ，主要目標係加密貨幣錢包嘅憑證、私鑰、瀏覽器儲存嘅登入資料、Session Token、API Key同CI/CD Secrets。
其他載荷
PylangGhost： 一個Python後門，係第一次見到呢個惡意軟件透過npm套件傳播Socket.io後門： 建立同攻擊者伺服器嘅持續反向Shell通訊
同Contagious Interview嘅關係
兩個行動都用到BeaverTail呢種惡意軟件，同埋有重疊嘅C2基礎設施
PolinRider/TasksJacker完全唔使社交工程——只要開發者安裝咗惡意套件，或者VS Code自動執行咗任務，就會中招
兩個都用到區塊鏈嚟攞載荷
點樣防禦？ 根據OpenSourceMalware、Socket Security、Sonatype等研究機構嘅建議，機構應該做以下措施：
立即行動
將任何受影響嘅環境當作完全被入侵 ——假設所有憑證同機密都已經洩漏，直到證明冇事移除受影響嘅套件 ，包括package.json、go.mod同lockfile入面嘅檢查所有開發者電腦嘅對外網絡活動 ，特別係連去區塊鏈節點同唔明IP地址嘅連線暫停任何執行過受影響套件嘅程式碼開發 ——將程式碼還原到已知被入侵之前嘅版本保留法證證據 （日誌、磁碟映像）之後先做修復
程式碼同倉庫清理
**檢查所有postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs**呢類檔案，睇下有冇加咗混淆JavaScript
檢查.vscode/目錄 ，睇下有冇唔應該出現嘅tasks.json同自動執行設定檢查.woff2同其他二進制資源檔 ，睇下有冇嵌入JavaScript審查Git歷史 ，睇下有冇來自不明作者嘅倒填日期提交——唔好信晒表面上睇到嘅提交歷史
長期加強防護
喺開發者網絡實施出口過濾 ，限制唔必要嘅對外連線安裝前驗證套件完整性 （lockfile、checksum驗證、npm audit、socket.dev掃描）喺開發環境關閉VS Code自動執行任務 ，除非真係需要部署靜態分析規則 ——Datadog已經提供咗專門畀JavaScript/Node.js代碼安全掃描嘅PolinRider偵測規則監察區塊鏈C2跡象 ——開發者電腦有冇唔尋常嘅DNS查詢去區塊鏈API，或者非標準嘅對外連線從已知乾淨嘅lockfile重建，同時更換所有可能已經洩漏嘅Secrets、API Key同加密金鑰 PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
