Nordkoreanske hackere sprer 108 skadelige pakker i PolinRider-kampanjen
SYNOPSIS_GENERERT
Nordkoreanske trusselaktører bak Contagious Interview-kampanjen har publisert 108 unike pakker og nettleserutvidelser på npm, Packagist, Go og Chrome i en pågående operasjon kalt PolinRider. Fordelingen er 19 npm-biblioteker, 10 Composer-pakker, 61 Go-moduler og én Chrome-utvidelse, ifølge Socket-forsker Karlo Zanki. Pakkene planter obfuskert JavaScript som henter et kryptert andresteg via TRON, Aptos og BNB Smart Chain, og ender opp med DEV#POPPER RAT og OmniStealer. Utløseren er ofte VS Code task-filer med «runOn: folderOpen», som kjører kode automatisk når mappa åpnes i VS Code eller Cursor. Per 11. april hadde kampanjen kompromittert 1 951 GitHub-repoer fra 1 047 eiere.
Det farlige for deg som henter avhengigheter fra npm, Go eller Packagist er at GitHub-siden lyver: angriperne skriver om Git-historikken med force push og antedaterte commits, så commit-loggen ser ren og gammel ut.
Hva bør du gjøre?
Har du kjørt en av pakkene, behandle maskinen som kompromittert: roter hemmeligheter fra en ren maskin og bygg på nytt fra en kjent god lockfile.
Sjekk om «.vscode/tasks.json», «vite.config.js» eller «eslint.config.js» er endret.
Pin versjoner og les diffen på avhengigheter du oppdaterer, spesielt fra maintainere som nylig har byttet konto eller domene.