Un groupe lié à la Corée du Nord signale 108 packages et extensions malveillants dans l’opération PolinRider
Des chercheurs affirment qu’un groupe de cybermenaces lié à la Corée du Nord et associé à la campagne Contagious Interview, active depuis plusieurs années, a diffusé 108 packages et extensions de navi...
Des chercheurs affirment qu’un groupe de cybermenaces lié à la Corée du Nord et associé à la campagne Contagious Interview, active depuis plusieurs années, a diffusé 108 packages et extensions de navigateur distincts dans plusieurs écosystèmes logiciels, notamment npm, Packagist, Go et le Chrome Web Store de Google. Suivie sous le nom de PolinRider, cette activité est toujours en cours et devrait probablement se poursuivre, les attaquants obtenant l’accès à des comptes de mainteneurs et à des canaux de publication légitimes.
Selon Karlo Zanki, chercheur chez Socket, les 162 artefacts de publication malveillants correspondent à 108 packages et extensions uniques. L’ensemble comprend 19 bibliothèques npm, 10 packages Composer, 61 modules Go et une extension Chrome. L’opération vise les développeurs logiciels et les acteurs des cryptomonnaies en intégrant des malwares aux outils et référentiels auxquels ils font le plus confiance.
Fonctionnement de la campagne
Contagious Interview est active depuis au moins 2023 et est connue pour se faire passer pour des recruteurs, des partenaires ou des employeurs potentiels sur des plateformes telles que LinkedIn, GitHub et les places de marché pour freelances. Les attaquants utilisent généralement des offres d’emploi et des évaluations techniques convaincantes pour persuader leurs cibles d’exécuter du code malveillant. Dans le cadre de la vague PolinRider, le groupe a également été associé à des référentiels GitHub publics compromis et à des fichiers de tâches VS Code malveillants capables d’exécuter du code lorsqu’un dossier est ouvert dans un éditeur.
OpenSourceMalware avait précédemment rapporté que les attaquants ne s’appuyaient pas uniquement sur des identifiants GitHub volés. Ils semblent plutôt avoir obtenu l’accès par l’intermédiaire de packages ou d’extensions malveillants et, dans certains cas, pourraient avoir utilisé des procédures de récupération de compte ou la reprise de domaines expirés pour publier des versions infectées. Une fois actif, le malware recherche des fichiers de projet courants tels que
- postcss.config.mjs
- tailwind.config.js
- eslint.config.mjs
- next.config.mjs
- babel.config.js
- app.js
Charges utiles et recommandations aux défenseurs
Les derniers échantillons fonctionnent comme des chargeurs qui contactent des services liés à la blockchain, notamment TRON, Aptos et BNB Smart Chain, afin de récupérer une seconde étape chiffrée. Des précédents rapports ont établi un lien entre cette chaîne et DEV#POPPER RAT et OmniStealer. Les chercheurs ont également relevé des tentatives visant à dissimuler l’activité en réécrivant l’historique Git, notamment au moyen de poussées forcées et de commits antidatés, ce qui peut donner aux chronologies des référentiels une apparence anodine.
Il est conseillé aux équipes de sécurité d’examiner les journaux d’activité des référentiels, les métadonnées des packages, les chemins d’exécution dissimulés et les modifications de configuration dans des fichiers tels que .vscode/tasks.json, config.js, vite.config.js et eslint.config.js. Toute personne ayant installé des packages concernés doit partir du principe que son système est compromis, renouveler ses secrets depuis un système sain, supprimer les versions affectées et reconstruire à partir de sources fiables.