截至2026年4月底，PolinRider攻擊已入侵1,951個GitHub儲存庫（1,047名唯一擁有者），規模在五週內成長約三倍，並與TasksJacker活動合併操作 [7][8][22]。 攻擊從npm套件生態系擴散至PyPI、Go Module Mirror、Packagist (PHP)、crates.io (Rust)，甚至入侵了每週下載量逾1億次的Axios函式庫，總計發布超過1,700個惡意npm套件 [5][6][2][12]。 感染鏈採用四階段隱匿技術：在設定檔中注入混淆後的JavaScript、以偽裝字型檔(.woff2)隱藏酬載、利用VS Code自動執行任務觸發，並透過TRON、Aptos、BSC區塊鏈交易作為指揮與控制（C2）通道，使追蹤極為困難 [2][4][7][9]。 最終部署的惡意程式包括新的BeaverTail變種（JavaScript下載器/竊密器）、DEV POPPER.js（遠端存取木馬）與OmniStealer（資訊竊取器），目標鎖定開發者的加密貨幣錢包、API金鑰與CI/CD機密 [3][7][10]。 Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers, An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems. AI 提示詞 Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com PolinRider 攻擊行動是截至目前為止，北韓（DPRK）針對開源軟體供應鏈發動的最具侵略性且技術最精密的大規模攻擊之一。該行動由安全研究團隊 OpenSourceMalware 於 2026 年 3 月首次揭露，並迅速在多個套件生態系與開發者工具鏈中擴散，已成功入侵近 2,000 個 GitHub 儲存庫，並利用區塊鏈技術建立韌性極高的指揮與控制（C2）基礎設施
歸因與行動識別
PolinRider 歸屬於北韓（DPRK），並與 Lazarus 集團密切相關，是該集團旗下規模更大的 Contagious Interview 攻擊群組（亦被追蹤為 Famous Chollima）中的一個子行動
大家也會問 「PolinRider：北韓供應鏈攻擊已攻陷近2000個GitHub儲存庫，開發者環境全面淪陷」的簡短答案是什麼？ 截至2026年4月底，PolinRider攻擊已入侵1,951個GitHub儲存庫（1,047名唯一擁有者），規模在五週內成長約三倍，並與TasksJacker活動合併操作 [7][8][22]。
最值得優先驗證的重點是什麼？ 截至2026年4月底，PolinRider攻擊已入侵1,951個GitHub儲存庫（1,047名唯一擁有者），規模在五週內成長約三倍，並與TasksJacker活動合併操作 [7][8][22]。 攻擊從npm套件生態系擴散至PyPI、Go Module Mirror、Packagist (PHP)、crates.io (Rust)，甚至入侵了每週下載量逾1億次的Axios函式庫，總計發布超過1,700個惡意npm套件 [5][6][2][12]。
接下來在實務上該怎麼做？ 感染鏈採用四階段隱匿技術：在設定檔中注入混淆後的JavaScript、以偽裝字型檔(.woff2)隱藏酬載、利用VS Code自動執行任務觸發，並透過TRON、Aptos、BSC區塊鏈交易作為指揮與控制（C2）通道，使追蹤極為困難 [2][4][7][9]。
截至2026年4月底，PolinRider攻擊已入侵1,951個GitHub儲存庫（1,047名唯一擁有者），規模在五週內成長約三倍，並與TasksJacker活動合併操作 [7][8][22]。 攻擊從npm套件生態系擴散至PyPI、Go Module Mirror、Packagist (PHP)、crates.io (Rust)，甚至入侵了每週下載量逾1億次的Axios函式庫，總計發布超過1,700個惡意npm套件 [5][6][2][12]。 感染鏈採用四階段隱匿技術：在設定檔中注入混淆後的JavaScript、以偽裝字型檔(.woff2)隱藏酬載、利用VS Code自動執行任務觸發，並透過TRON、Aptos、BSC區塊鏈交易作為指揮與控制（C2）通道，使追蹤極為困難 [2][4][7][9]。 最終部署的惡意程式包括新的BeaverTail變種（JavaScript下載器/竊密器）、DEV POPPER.js（遠端存取木馬）與OmniStealer（資訊竊取器），目標鎖定開發者的加密貨幣錢包、API金鑰與CI/CD機密 [3][7][10]。 Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers, An artist's conceptualization of the PolinRider supply chain attack chain, showing the compromise of open-source ecosystems. AI 提示詞 Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the key details of the PolinRider supply chain campaign linked to North Korean hackers,. Article summary: Here is a comprehensive, source-cited breakdown of the PolinRider campaign.. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evide
openai.com PolinRider 攻擊行動是截至目前為止，北韓（DPRK）針對開源軟體供應鏈發動的最具侵略性且技術最精密的大規模攻擊之一。該行動由安全研究團隊 OpenSourceMalware 於 2026 年 3 月首次揭露，並迅速在多個套件生態系與開發者工具鏈中擴散，已成功入侵近 2,000 個 GitHub 儲存庫，並利用區塊鏈技術建立韌性極高的指揮與控制（C2）基礎設施
歸因與行動識別
PolinRider 歸屬於北韓（DPRK），並與 Lazarus 集團密切相關，是該集團旗下規模更大的 Contagious Interview 攻擊群組（亦被追蹤為 Famous Chollima）中的一個子行動
大家也會問 「PolinRider：北韓供應鏈攻擊已攻陷近2000個GitHub儲存庫，開發者環境全面淪陷」的簡短答案是什麼？ 截至2026年4月底，PolinRider攻擊已入侵1,951個GitHub儲存庫（1,047名唯一擁有者），規模在五週內成長約三倍，並與TasksJacker活動合併操作 [7][8][22]。
最值得優先驗證的重點是什麼？ 截至2026年4月底，PolinRider攻擊已入侵1,951個GitHub儲存庫（1,047名唯一擁有者），規模在五週內成長約三倍，並與TasksJacker活動合併操作 [7][8][22]。 攻擊從npm套件生態系擴散至PyPI、Go Module Mirror、Packagist (PHP)、crates.io (Rust)，甚至入侵了每週下載量逾1億次的Axios函式庫，總計發布超過1,700個惡意npm套件 [5][6][2][12]。
接下來在實務上該怎麼做？ 感染鏈採用四階段隱匿技術：在設定檔中注入混淆後的JavaScript、以偽裝字型檔(.woff2)隱藏酬載、利用VS Code自動執行任務觸發，並透過TRON、Aptos、BSC區塊鏈交易作為指揮與控制（C2）通道，使追蹤極為困難 [2][4][7][9]。
TasksJacker
規模與影響範圍 PolinRider 的攻擊規模龐大且持續快速增長：
1,951 個受感染的 GitHub 儲存庫 ，分屬於 1,047 名不同的擁有者 （截至 2026 年 4 月底） 在首次揭露後的五週內，受影響的儲存庫數量幾乎增長了三倍
在更廣泛的 Contagious Interview 行動中，總計發布了超過 1,700 個惡意的 npm 套件
受影響的生態系 此攻擊行動已遠遠超出其最初的攻擊載體——npm，觸及範圍遍及各主要套件管理器：
npm (Node.js)： 主要目標，包含數百個惡意套件，例如 dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt 與 debug-glit PyPI (Python)： 作為 Contagious Interview 行動的一部分，發佈了 Python 惡意套件 Go (Go Module Mirror)： 由 Socket Security 安全團隊識別出惡意的 Go 套件 Packagist (PHP/Composer)： 至 2026 年 7 月，攻擊活動已擴展至此生態系 Rust (crates.io)： 在整個行動中亦被鎖定 GitHub Actions 與 VS Code 擴充功能： 透過惡意的 .vscode/tasks.json 檔案與注入的 CI/CD 管道遭到入侵 此外，在 2026 年 4 月，該行動甚至入侵了廣泛使用的 Axios npm 函式庫（1.14.1 與 0.30.0 版），透過一個名為 plain-crypto-js 的惡意依賴套件進行攻擊，影響了每週約 1 億次的下載量
多階段的感染技術 PolinRider 的感染鏈是一個精心策劃的四階段過程，旨在最大化隱蔽性並最小化受害者互動的需求。
第一階段：在設定檔中植入混淆的 JavaScript 載入器
第二階段：精密的隱藏手法
偽造的 .woff2 字型檔案： 將混淆後的 JavaScript 偽裝成網頁字型檔，這是一種開發者極少會檢查的二進位格式 空白字元填充： 可執行的程式碼被填充到可視視窗右側很遠的地方 Git 歷史偽造（ForceMemo 模組）： 該模組會重寫 Git 歷史，將惡意提交的日期偽裝成數月之前的例行維護，使其看似來自合法維護者
第三階段：VS Code 任務執行（TasksJacker）
第四階段：基於區塊鏈的酬載檢索（C2）
傳遞的惡意軟體酬載 PolinRider 會傳遞一系列惡意酬載，每個都具有特定功能：
BeaverTail（基於 JavaScript 的下載器/資訊竊取器） 主要傳遞的惡意軟體家族是 BeaverTail 的一個新變種，這是一種與北韓行動相關的知名 JavaScript 惡意軟體。它扮演第一階段下載器和憑證收集器的角色
DEV#POPPER.js（遠端存取木馬 RAT） 感染鏈會傳遞一個基於 JavaScript 的遠端存取木馬，被追蹤為 DEV#POPPER.js 。它提供完整的遠端程式碼執行（RCE）能力、持續性存取，以及在受感染的開發者工作站上執行任意指令的能力。eSentire 的威脅應變小組（TRU）已於 2026 年 2 月在能源、公用事業與廢棄物處理產業中發現了在野外的攻擊活動
OmniStealer（資訊竊取器） 與 DEV#POPPER 一同部署，OmniStealer 積極鎖定加密貨幣錢包憑證、私鑰、瀏覽器儲存的憑證、Session Token、API 金鑰以及 CI/CD 機密
其他惡意酬載
PylangGhost： 一個基於 Python 的後門，這是該惡意軟體首次透過 npm 套件進行傳播 Socket.io 後門： 建立與攻擊者基礎設施的持久性反向 Shell 通訊
與 Contagious Interview 的關聯
兩個行動共享相同的 BeaverTail 惡意軟體家族與重疊的 C2 基礎設施
PolinRider/TasksJacker 完全消除了社交互動層面——入侵透過惡意套件和 VS Code 自動執行任務自動發生
兩者都使用基於區塊鏈的酬載檢索技術
建議的防禦應對措施 根據 OpenSourceMalware、Socket Security、Sonatype 及其他研究人員的建議，組織應採取以下步驟：
立即行動
將任何受影響的環境視為完全淪陷 ——在證明安全之前，假設所有憑證和機密都已被竊取 從 package.json、go.mod 和 lockfiles 中移除受影響的套件 審查開發者工作站的所有對外網路活動 ，特別留意連線到區塊鏈節點和未知 IP 的流量 暫停在任何曾執行過受影響套件的程式庫上的開發工作 ——恢復到已知被入侵時間點之前的提交版本 在進行補救措施前，保留鑑識證據 （日誌、磁碟映像檔）
程式碼與儲存庫清理
掃描所有 postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs 等類似檔案，檢查是否有被附加的混淆 JavaScript 程式碼 檢查 .vscode/ 目錄 ，確認是否存在非預期的、帶有自動執行設定的 tasks.json 檔案 審查 .woff2 及其他二進位資產檔案 ，確認其中是否嵌入了 JavaScript 程式碼 稽核 Git 歷史 ，檢查是否存在來自未知作者的倒填日期提交——切勿完全信任可見的提交歷史
長期強化措施
在開發者網路上實施出口過濾 ，限制對外連線 在安裝套件前使用套件完整性驗證機制 （如 lockfiles、checksum 驗證、npm audit、socket.dev 掃描） 在開發環境中關閉 VS Code 的自動執行任務功能 ，除非特別需要 部署靜態分析規則 ——Datadog 已提供針對 PolinRider 的專用檢測規則，用於 JavaScript/Node.js 程式碼安全掃描 監控基於區塊鏈的 C2 指標 ——留意開發者機器上對區塊鏈 API 的非典型 DNS 查詢或非標準的對外連線 從已知良好的 lockfiles 重建環境，並重新輪換所有可能已在受影響工作站上暴露的機密、API 金鑰與加密金鑰 PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
TasksJacker
規模與影響範圍 PolinRider 的攻擊規模龐大且持續快速增長：
1,951 個受感染的 GitHub 儲存庫 ，分屬於 1,047 名不同的擁有者 （截至 2026 年 4 月底） 在首次揭露後的五週內，受影響的儲存庫數量幾乎增長了三倍
在更廣泛的 Contagious Interview 行動中，總計發布了超過 1,700 個惡意的 npm 套件
受影響的生態系 此攻擊行動已遠遠超出其最初的攻擊載體——npm，觸及範圍遍及各主要套件管理器：
npm (Node.js)： 主要目標，包含數百個惡意套件，例如 dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt 與 debug-glit PyPI (Python)： 作為 Contagious Interview 行動的一部分，發佈了 Python 惡意套件 Go (Go Module Mirror)： 由 Socket Security 安全團隊識別出惡意的 Go 套件 Packagist (PHP/Composer)： 至 2026 年 7 月，攻擊活動已擴展至此生態系 Rust (crates.io)： 在整個行動中亦被鎖定 GitHub Actions 與 VS Code 擴充功能： 透過惡意的 .vscode/tasks.json 檔案與注入的 CI/CD 管道遭到入侵 此外，在 2026 年 4 月，該行動甚至入侵了廣泛使用的 Axios npm 函式庫（1.14.1 與 0.30.0 版），透過一個名為 plain-crypto-js 的惡意依賴套件進行攻擊，影響了每週約 1 億次的下載量
多階段的感染技術 PolinRider 的感染鏈是一個精心策劃的四階段過程，旨在最大化隱蔽性並最小化受害者互動的需求。
第一階段：在設定檔中植入混淆的 JavaScript 載入器
第二階段：精密的隱藏手法
偽造的 .woff2 字型檔案： 將混淆後的 JavaScript 偽裝成網頁字型檔，這是一種開發者極少會檢查的二進位格式 空白字元填充： 可執行的程式碼被填充到可視視窗右側很遠的地方 Git 歷史偽造（ForceMemo 模組）： 該模組會重寫 Git 歷史，將惡意提交的日期偽裝成數月之前的例行維護，使其看似來自合法維護者
第三階段：VS Code 任務執行（TasksJacker）
第四階段：基於區塊鏈的酬載檢索（C2）
傳遞的惡意軟體酬載 PolinRider 會傳遞一系列惡意酬載，每個都具有特定功能：
BeaverTail（基於 JavaScript 的下載器/資訊竊取器） 主要傳遞的惡意軟體家族是 BeaverTail 的一個新變種，這是一種與北韓行動相關的知名 JavaScript 惡意軟體。它扮演第一階段下載器和憑證收集器的角色
DEV#POPPER.js（遠端存取木馬 RAT） 感染鏈會傳遞一個基於 JavaScript 的遠端存取木馬，被追蹤為 DEV#POPPER.js 。它提供完整的遠端程式碼執行（RCE）能力、持續性存取，以及在受感染的開發者工作站上執行任意指令的能力。eSentire 的威脅應變小組（TRU）已於 2026 年 2 月在能源、公用事業與廢棄物處理產業中發現了在野外的攻擊活動
OmniStealer（資訊竊取器） 與 DEV#POPPER 一同部署，OmniStealer 積極鎖定加密貨幣錢包憑證、私鑰、瀏覽器儲存的憑證、Session Token、API 金鑰以及 CI/CD 機密
其他惡意酬載
PylangGhost： 一個基於 Python 的後門，這是該惡意軟體首次透過 npm 套件進行傳播 Socket.io 後門： 建立與攻擊者基礎設施的持久性反向 Shell 通訊
與 Contagious Interview 的關聯
兩個行動共享相同的 BeaverTail 惡意軟體家族與重疊的 C2 基礎設施
PolinRider/TasksJacker 完全消除了社交互動層面——入侵透過惡意套件和 VS Code 自動執行任務自動發生
兩者都使用基於區塊鏈的酬載檢索技術
建議的防禦應對措施 根據 OpenSourceMalware、Socket Security、Sonatype 及其他研究人員的建議，組織應採取以下步驟：
立即行動
將任何受影響的環境視為完全淪陷 ——在證明安全之前，假設所有憑證和機密都已被竊取 從 package.json、go.mod 和 lockfiles 中移除受影響的套件 審查開發者工作站的所有對外網路活動 ，特別留意連線到區塊鏈節點和未知 IP 的流量 暫停在任何曾執行過受影響套件的程式庫上的開發工作 ——恢復到已知被入侵時間點之前的提交版本 在進行補救措施前，保留鑑識證據 （日誌、磁碟映像檔）
程式碼與儲存庫清理
掃描所有 postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs 等類似檔案，檢查是否有被附加的混淆 JavaScript 程式碼 檢查 .vscode/ 目錄 ，確認是否存在非預期的、帶有自動執行設定的 tasks.json 檔案 審查 .woff2 及其他二進位資產檔案 ，確認其中是否嵌入了 JavaScript 程式碼 稽核 Git 歷史 ，檢查是否存在來自未知作者的倒填日期提交——切勿完全信任可見的提交歷史
長期強化措施
在開發者網路上實施出口過濾 ，限制對外連線 在安裝套件前使用套件完整性驗證機制 （如 lockfiles、checksum 驗證、npm audit、socket.dev 掃描） 在開發環境中關閉 VS Code 的自動執行任務功能 ，除非特別需要 部署靜態分析規則 ——Datadog 已提供針對 PolinRider 的專用檢測規則，用於 JavaScript/Node.js 程式碼安全掃描 監控基於區塊鏈的 C2 指標 ——留意開發者機器上對區塊鏈 API 的非典型 DNS 查詢或非標準的對外連線 從已知良好的 lockfiles 重建環境，並重新輪換所有可能已在受影響工作站上暴露的機密、API 金鑰與加密金鑰 PolinRider — DPRK Supply-Chain Campaign Compromises 1,951 GitHub Repos via Malicious npm Packages, VS Code tasks.json Auto-Run, and TRON/Aptos/BSC Blockchain Dead-Drop C2 — Threadlinqs Intelligence
