Nhóm tin tặc Triều Tiên phát hành 108 gói và tiện ích độc hại trong chiến dịch PolinRider
"North Korean threat actors linked to the Contagious Interview campaign published 108 unique malicious packages and browser extensions across npm, Packagist, Go, and the Chrome ecosystem as part of the PolinRider activity. The packages deliver obfuscated JavaScript loaders that can modify developer files, rewrite Git history, and fetch second-stage payloads associated with BeaverTail, DEV#POPPER RAT, and OmniStealer; defenders are advised to treat affected environments as compromised, rotate secrets, and rebuild from trusted lockfiles."
Rủi ro cao do chuỗi tấn công supply chain kết hợp obfuscated JavaScript và thay đổi lịch sử Git làm che giấu dấu vết; có thể dẫn tới triển khai RAT/stealer và thao tác trên tệp cấu hình nhà phát triển.
Có thể gây gián đoạn phát triển và rò rỉ dữ liệu do ảnh hưởng tới kho mã và môi trường IDE; chi phí xử lý tăng vì cần rà soát nhiều repo/gói và khôi phục từ nguồn tin cậy.
Các tác nhân đe doạ liên kết với chiến dịch Contagious Interview được ghi nhận đang phát hành 108 gói phần mềm và tiện ích trình duyệt độc hại trong hoạt động PolinRider. Theo phân tích từ Socket và các nhóm theo dõi mã nguồn mở, chiến dịch này bao gồm 19 thư viện npm, 10 gói Composer, 61 module Go và 1 tiện ích Google Chrome, với tổng số hiện vật phát hành độc hại được mô tả là 162 phiên bản tương ứng.
Cơ chế tấn công dựa trên việc cài loader JavaScript đã bị obfuscation vào các kho hợp lệ, sau đó có thể sửa đổi tệp cấu hình của nhà phát triển, thay đổi lịch sử Git (ví dụ force push/commit “lùi ngày”) và tải payload giai đoạn hai. Chuỗi tấn công được cho là dẫn tới BeaverTail, đồng thời có thể triển khai DEV#POPPER RAT và OmniStealer thông qua hạ tầng blockchain như TRON, Aptos và BNB Smart Chain.
Đáng chú ý, OpenSourceMalware cho biết kẻ tấn công không dùng thông tin đăng nhập GitHub bị đánh cắp, mà xâm nhập nạn nhân qua tiện ích VS Code hoặc gói npm độc hại. Khuyến nghị: coi môi trường đã bị ảnh hưởng là compromised, xoay bí mật từ máy sạch, gỡ các phiên bản liên quan và build lại từ lockfile tin cậy; đồng thời rà soát cấu hình như .vscode/tasks.json và các tệp cấu hình (ví dụ vite.config.js, eslint.config.js) để phát hiện đường dẫn thực thi ẩn.