Gruppo legato alla Corea del Nord segnala 108 pacchetti ed estensioni dannosi nell’operazione PolinRider

Secondo i ricercatori, un gruppo di minacce legato alla Corea del Nord e associato alla campagna di lunga durata Contagious Interview ha pubblicato 108 distinti pacchetti dannosi ed estensioni del browser in diversi ecosistemi software, tra cui npm, Packagist, Go e il Google Chrome Web Store. L’attività, monitorata con il nome PolinRider, è ancora in corso e probabilmente continuerà, poiché gli aggressori ottengono accesso agli account dei maintainer e ai legittimi canali di pubblicazione.

Secondo Karlo Zanki, ricercatore di Socket, i 162 artefatti di rilascio dannosi corrispondono a 108 pacchetti ed estensioni unici, con una raccolta che comprende 19 librerie npm, 10 pacchetti Composer, 61 moduli Go e un’estensione Chrome. L’operazione è progettata per raggiungere sviluppatori software e operatori del settore delle criptovalute, incorporando malware negli strumenti e nei repository di cui si fidano maggiormente.

Come funziona la campagna

Contagious Interview è attiva almeno dal 2023 ed è nota per spacciarsi per recruiter, partner o potenziali datori di lavoro su piattaforme come LinkedIn, GitHub e i marketplace per freelance. Gli aggressori utilizzano in genere offerte di lavoro convincenti e prove tecniche per persuadere le vittime a eseguire codice dannoso. Nell’ondata PolinRider, il gruppo è stato inoltre associato a repository GitHub pubblici compromessi e a file di attività dannosi di VS Code, in grado di eseguire codice quando una cartella viene aperta nell’editor.

OpenSourceMalware aveva precedentemente riferito che gli aggressori non facevano affidamento esclusivamente su credenziali GitHub sottratte. Sembra invece che abbiano ottenuto l’accesso tramite pacchetti o estensioni dannosi e, in alcuni casi, possano aver utilizzato procedure di recupero degli account o acquisizioni di domini scaduti per pubblicare versioni infette. Una volta attivo, il malware cerca file di progetto comuni come

• postcss.config.mjs
• tailwind.config.js
• eslint.config.mjs
• next.config.mjs
• babel.config.js
• app.js

e quindi aggiunge payload JavaScript nascosti.

Payload e indicazioni per i difensori

Gli ultimi campioni fungono da loader che contattano servizi legati alla blockchain, tra cui TRON, Aptos e BNB Smart Chain, per recuperare un secondo stadio crittografato. Precedenti analisi avevano collegato questa catena a DEV#POPPER RAT e OmniStealer. I ricercatori hanno inoltre rilevato tentativi di mascherare l’attività riscrivendo la cronologia di Git, inclusi force push e commit retrodatati, che possono far apparire innocue le tempistiche del repository.

Si consiglia ai team di sicurezza di esaminare i log delle attività dei repository, i metadati dei pacchetti, i percorsi di esecuzione nascosti e le modifiche alla configurazione in file come .vscode/tasks.json, config.js, vite.config.js ed eslint.config.js. Chiunque abbia installato pacchetti interessati dovrebbe presumere che il sistema sia compromesso, ruotare i segreti da un sistema pulito, rimuovere le versioni interessate e ricostruire il progetto a partire da fonti affidabili.