朝鲜黑客在PolinRider行动中发布108个恶意软件包及扩展程序

FreeBuf

2026年7月6日 15:26
上海

在小说阅读器读本章

去阅读

与\"传染性面试\"（Contagious Interview）行动相关的朝鲜黑客组织近期发布了108个独特的软件包和浏览器扩展，这些恶意组件分布在npm、Packagist、Go和Google Chrome平台，该持续活动被命名为PolinRider。

Socket安全研究员Karlo Zanki在本周发布的分析报告中指出：\"该行动仍在活跃，随着攻击者入侵维护者账户、篡改合法代码库并发布受感染的软件包版本，新的恶意软件包很可能会持续出现。\"这些162个恶意发布产物对应108个独特软件包和扩展程序，包括19个npm库、10个Composer包、61个Go模块和1个Google Chrome扩展。

Part01

攻击手法与目标

\"传染性面试\"是朝鲜背景黑客组织惯用的攻击手法，通过伪造招聘流程针对软件开发人员和加密货币行业从业者。攻击者利用具有说服力的面试和评估环节，诱骗目标执行恶意代码。该活动至少自2023年起持续活跃，攻击者通常在LinkedIn、GitHub或自由职业网站上伪装成招聘人员或合作者，建立精心设计的空壳公司和AI生成的员工档案以获取信任，最终投递恶意软件。

Part02

技术细节分析

OpenSourceMalware团队于2026年3月首次发现PolinRider活动，其特点是攻击者在数百个不同所有者公开GitHub仓库中植入经过混淆的JavaScript恶意载荷，用于传播BeaverTail的新变种——这是一种已知与\"传染性面试\"相关的JavaScript恶意软件。截至2026年4月11日，该活动已入侵1,951个公开GitHub仓库，涉及1,047个不同所有者，并与另一个名为TaskJacker的攻击集群合并，后者会在GitHub用户现有仓库中植入恶意VS Code任务文件。这些VS Code任务包含\"runOn: 'folderOpen'\"选项，当用户在VS Code或Cursor等IDE中将文件夹作为工作区打开时，就会触发任意代码执行。

OpenSourceMalware指出：\"攻击者并未使用窃取的GitHub凭证，而是通过恶意VS Code扩展或npm包入侵受害者。\"据信攻击者可能通过过期域名接管或其他账户恢复途径接管维护者账户来实施攻击。

Part03

恶意行为特征

恶意软件执行后会扫描受感染计算机中的特定文件（如\"postcss.config.mjs\"、\"tailwind.config.js\"等），若发现目标文件则追加恶意JavaScript代码。同时使用Windows批处理脚本秘密修改最后一次提交，使其看似由原作者完成。安全专家怀疑类似工具也被用于重写Linux和macOS系统的Git历史记录。

Socket公司分析称：\"该行动的核心攻击手法始终一致：攻击者在合法仓库中植入混淆的JavaScript加载器，通过空白填充或伪造的.woff2字体文件隐藏代码，并通过VS Code任务文件等开发工具触发执行。\"

Part04