PolinRider：北韓供應鏈攻擊已攻陷近2000個GitHub儲存庫，開發者環境全面淪陷

PolinRider 攻擊行動是截至目前為止，北韓（DPRK）針對開源軟體供應鏈發動的最具侵略性且技術最精密的大規模攻擊之一。該行動由安全研究團隊 OpenSourceMalware 於 2026 年 3 月首次揭露，並迅速在多個套件生態系與開發者工具鏈中擴散，已成功入侵近 2,000 個 GitHub 儲存庫，並利用區塊鏈技術建立韌性極高的指揮與控制（C2）基礎設施 。

歸因與行動識別

PolinRider 歸屬於北韓（DPRK），並與 Lazarus 集團密切相關，是該集團旗下規模更大的 Contagious Interview 攻擊群組（亦被追蹤為 Famous Chollima）中的一個子行動 。此行動在戰術上已與另一個名為 TasksJacker 的行動合併，後者專門利用 VS Code 的任務自動化功能進行入侵 。

規模與影響範圍

PolinRider 的攻擊規模龐大且持續快速增長：

• 1,951 個受感染的 GitHub 儲存庫，分屬於 1,047 名不同的擁有者（截至 2026 年 4 月底）
• 在首次揭露後的五週內，受影響的儲存庫數量幾乎增長了三倍
• 在更廣泛的 Contagious Interview 行動中，總計發布了超過 1,700 個惡意的 npm 套件

受影響的生態系

此攻擊行動已遠遠超出其最初的攻擊載體——npm，觸及範圍遍及各主要套件管理器：

• npm (Node.js)： 主要目標，包含數百個惡意套件，例如 dev-log-core、logger-base、logkitx、pino-debugger、debug-fmt 與 debug-glit
• PyPI (Python)： 作為 Contagious Interview 行動的一部分，發佈了 Python 惡意套件
• Go (Go Module Mirror)： 由 Socket Security 安全團隊識別出惡意的 Go 套件
• Packagist (PHP/Composer)： 至 2026 年 7 月，攻擊活動已擴展至此生態系
• Rust (crates.io)： 在整個行動中亦被鎖定
• GitHub Actions 與 VS Code 擴充功能： 透過惡意的 .vscode/tasks.json 檔案與注入的 CI/CD 管道遭到入侵

此外，在 2026 年 4 月，該行動甚至入侵了廣泛使用的 Axios npm 函式庫（1.14.1 與 0.30.0 版），透過一個名為 plain-crypto-js 的惡意依賴套件進行攻擊，影響了每週約 1 億次的下載量 。

多階段的感染技術

PolinRider 的感染鏈是一個精心策劃的四階段過程，旨在最大化隱蔽性並最小化受害者互動的需求。

第一階段：在設定檔中植入混淆的 JavaScript 載入器

攻擊者將高度混淆的 JavaScript 附加在合法的開發者設定檔末尾，這些檔案包括 postcss.config.mjs、tailwind.config.js、eslint.config.mjs 以及 next.config.mjs 。這些惡意程式碼行被填充了大量的空白字元，將實際執行代碼推到預設 IDE 可視範圍之外，從而在常規程式碼審查中「隱形」 。

第二階段：精密的隱藏手法

PolinRider 主要採用三種隱藏技術：

• 偽造的 .woff2 字型檔案： 將混淆後的 JavaScript 偽裝成網頁字型檔，這是一種開發者極少會檢查的二進位格式
• 空白字元填充： 可執行的程式碼被填充到可視視窗右側很遠的地方
• Git 歷史偽造（ForceMemo 模組）： 該模組會重寫 Git 歷史，將惡意提交的日期偽裝成數月之前的例行維護，使其看似來自合法維護者

第三階段：VS Code 任務執行（TasksJacker）

惡意的 .vscode/tasks.json 檔案被注入到儲存庫中。當開發者克隆一個受感染的儲存庫並在 VS Code 中打開時，該任務會自動執行，無需使用者進行任何進一步互動。此步驟完全跳過了早期 Contagious Interview 攻擊行動中使用的社交工程環節 。

第四階段：基於區塊鏈的酬載檢索（C2）

解混淆後的 JavaScript 載入器透過讀取嵌入在加密貨幣區塊鏈交易中的加密資料來檢索下一階段的酬載。該行動使用 TRON、Aptos 和 BSC（BNB Smart Chain） 區塊鏈網路作為「死信投遞」（dead-drop）C2 通道 。這種「區塊鏈隱藏」（etherhiding）技術使得打擊行動極其困難，因為 C2 資料存在於不可篡改的公有區塊鏈上。

傳遞的惡意軟體酬載

PolinRider 會傳遞一系列惡意酬載，每個都具有特定功能：

BeaverTail（基於 JavaScript 的下載器/資訊竊取器）

主要傳遞的惡意軟體家族是 BeaverTail 的一個新變種，這是一種與北韓行動相關的知名 JavaScript 惡意軟體。它扮演第一階段下載器和憑證收集器的角色 。

DEV#POPPER.js（遠端存取木馬 RAT）

感染鏈會傳遞一個基於 JavaScript 的遠端存取木馬，被追蹤為 DEV#POPPER.js。它提供完整的遠端程式碼執行（RCE）能力、持續性存取，以及在受感染的開發者工作站上執行任意指令的能力。eSentire 的威脅應變小組（TRU）已於 2026 年 2 月在能源、公用事業與廢棄物處理產業中發現了在野外的攻擊活動 。

OmniStealer（資訊竊取器）

與 DEV#POPPER 一同部署，OmniStealer 積極鎖定加密貨幣錢包憑證、私鑰、瀏覽器儲存的憑證、Session Token、API 金鑰以及 CI/CD 機密 。

其他惡意酬載

• PylangGhost： 一個基於 Python 的後門，這是該惡意軟體首次透過 npm 套件進行傳播
• Socket.io 後門： 建立與攻擊者基礎設施的持久性反向 Shell 通訊

與 Contagious Interview 的關聯

PolinRider 是 Contagious Interview 攻擊行動的直接戰術演化。Contagious Interview 過去主要依賴虛假的工作面試誘餌和社交工程，誘騙開發者安裝被植入木馬的專案。而 PolinRider 標誌著向完全自動化、無需社交工程的供應鏈入侵模式的轉變 。

主要的差異與重疊之處包括：

• 兩個行動共享相同的 BeaverTail 惡意軟體家族與重疊的 C2 基礎設施
• PolinRider/TasksJacker 完全消除了社交互動層面——入侵透過惡意套件和 VS Code 自動執行任務自動發生
• 兩者都使用基於區塊鏈的酬載檢索技術

建議的防禦應對措施

根據 OpenSourceMalware、Socket Security、Sonatype 及其他研究人員的建議，組織應採取以下步驟：

立即行動

1. 將任何受影響的環境視為完全淪陷——在證明安全之前，假設所有憑證和機密都已被竊取
2. 從 package.json、go.mod 和 lockfiles 中移除受影響的套件
3. 審查開發者工作站的所有對外網路活動，特別留意連線到區塊鏈節點和未知 IP 的流量
4. 暫停在任何曾執行過受影響套件的程式庫上的開發工作——恢復到已知被入侵時間點之前的提交版本
5. 在進行補救措施前，保留鑑識證據（日誌、磁碟映像檔）

程式碼與儲存庫清理

6. 掃描所有 postcss.config.mjs、tailwind.config.js、eslint.config.mjs、next.config.mjs 等類似檔案，檢查是否有被附加的混淆 JavaScript 程式碼
7. 檢查 .vscode/ 目錄，確認是否存在非預期的、帶有自動執行設定的 tasks.json 檔案
8. 審查 .woff2 及其他二進位資產檔案，確認其中是否嵌入了 JavaScript 程式碼
9. 稽核 Git 歷史，檢查是否存在來自未知作者的倒填日期提交——切勿完全信任可見的提交歷史

長期強化措施

10. 在開發者網路上實施出口過濾，限制對外連線
11. 在安裝套件前使用套件完整性驗證機制（如 lockfiles、checksum 驗證、

    npm audit

    、socket.dev 掃描）
12. 在開發環境中關閉 VS Code 的自動執行任務功能，除非特別需要
13. 部署靜態分析規則——Datadog 已提供針對 PolinRider 的專用檢測規則，用於 JavaScript/Node.js 程式碼安全掃描
14. 監控基於區塊鏈的 C2 指標——留意開發者機器上對區塊鏈 API 的非典型 DNS 查詢或非標準的對外連線
15. 從已知良好的 lockfiles 重建環境，並重新輪換所有可能已在受影響工作站上暴露的機密、API 金鑰與加密金鑰