Nordkorea-nahe Gruppe identifiziert 108 schädliche Pakete und Erweiterungen in der PolinRider-Operation

Forschende berichten, dass eine mit Nordkorea verbundene Bedrohungsgruppe aus der lang andauernden Contagious-Interview-Kampagne 108 verschiedene schädliche Pakete und Browser-Erweiterungen in mehreren Software-Ökosystemen veröffentlicht hat, darunter npm, Packagist, Go und den Google Chrome Web Store. Die als PolinRider bezeichnete Aktivität dauert an und wird wahrscheinlich fortgesetzt, während sich die Angreifer Zugriff auf Maintainer-Konten und legitime Veröffentlichungskanäle verschaffen.

Laut Karlo Zanki, einem Forscher bei Socket, lassen sich die 162 schädlichen Release-Artefakte 108 eindeutigen Paketen und Erweiterungen zuordnen. Die Sammlung umfasst 19 npm-Bibliotheken, 10 Composer-Pakete, 61 Go-Module und eine Chrome-Erweiterung. Die Operation zielt darauf ab, Softwareentwickler und Beschäftigte im Kryptowährungsbereich zu erreichen, indem Malware in die Tools und Repositories eingebettet wird, denen sie am meisten vertrauen.

So funktioniert die Kampagne

Contagious Interview ist mindestens seit 2023 aktiv und dafür bekannt, auf Plattformen wie LinkedIn, GitHub und Freelance-Marktplätzen als Recruiter, Partner oder potenzieller Arbeitgeber aufzutreten. Die Angreifer verwenden in der Regel überzeugende Stellenangebote und technische Tests, um ihre Ziele dazu zu bringen, schädlichen Code auszuführen. In der PolinRider-Welle wird die Gruppe außerdem mit kompromittierten öffentlichen GitHub-Repositories und schädlichen VS-Code-Task-Dateien in Verbindung gebracht, die beim Öffnen eines Ordners im Editor Code ausführen können.

OpenSourceMalware berichtete zuvor, dass sich die Angreifer nicht allein auf gestohlene GitHub-Zugangsdaten verlassen. Stattdessen scheinen sie sich über schädliche Pakete oder Erweiterungen Zugriff verschafft zu haben. In einigen Fällen könnten sie außerdem Wiederherstellungswege für Konten oder die Übernahme abgelaufener Domains genutzt haben, um infizierte Releases zu veröffentlichen. Sobald die Malware aktiv ist, sucht sie nach gängigen Projektdateien wie

• postcss.config.mjs
• tailwind.config.js
• eslint.config.mjs
• next.config.mjs
• babel.config.js
• app.js

und hängt anschließend versteckte JavaScript-Payloads an.

Payloads und Empfehlungen für Verteidiger

Die neuesten Samples fungieren als Loader, die blockchainbezogene Dienste wie TRON, Aptos und BNB Smart Chain kontaktieren, um eine verschlüsselte zweite Phase abzurufen. Frühere Berichte brachten diese Angriffskette mit DEV#POPPER RAT und OmniStealer in Verbindung. Forschende stellten außerdem Versuche fest, die Aktivität durch eine Umschreibung der Git-Historie zu verschleiern, darunter Force-Pushes und rückdatierte Commits, wodurch Zeitverläufe von Repositories unauffällig wirken können.

Sicherheitsteams wird empfohlen, Aktivitätsprotokolle von Repositories, Paketmetadaten, versteckte Ausführungspfade und Konfigurationsänderungen in Dateien wie .vscode/tasks.json, config.js, vite.config.js und eslint.config.js zu überprüfen. Wer betroffene Pakete installiert hat, sollte von einer Kompromittierung ausgehen, Geheimnisse von einem sauberen System aus rotieren, die betroffenen Versionen entfernen und die Umgebung aus vertrauenswürdigen Quellen neu erstellen.