هکرهای کره شمالی ۱۰۸ بسته و افزونه مخرب در کمپین PolinRider منتشر کردند

گروه تهدید کره شمالی مرتبط با کمپین «Contagious Interview» در قالب عملیاتی موسوم به «PolinRider»، ۱۰۸ بسته و افزونه مرورگر مخرب منتشر کرده است که پلتفرم‌های npm، Packagist، Go و Google Chrome را هدف قرار می‌دهند. به گفته محققان امنیتی شرکت Socket، این کمپین همچنان فعال است و تا ۱۱ آوریل ۲۰۲۶، بیش از ۱٬۹۵۱ مخزن عمومی GitHub متعلق به ۱٬۰۴۷ صاحب منحصربه‌فرد را به خطر انداخته است. مهاجمان با جعل هویت کارفرمایان و همکاران در پلتفرم‌هایی مانند LinkedIn و GitHub، توسعه‌دهندگان نرم‌افزار و فعالان حوزه ارزهای دیجیتال را هدف قرار می‌دهند و از طریق فایل‌های وظیفه VS Code (VS Code task files) و بسته‌های npm آلوده، کدهای مخرب جاوااسکریپت را اجرا می‌کنند.

بدافزار پس از اجرا، فایل‌های پیکربندی رایج توسعه‌دهندگان را شناسایی و کدهای مخرب به آن‌ها الحاق می‌کند، ضمن اینکه تاریخچه Git را بازنویسی می‌کند تا تغییرات مخرب قدیمی‌تر و کم‌مشکوک‌تر به نظر برسند. در آخرین موج حملات، بارگذار بدافزار (malware loader) با اتصال به زیرساخت بلاک‌چین از جمله TRON، Aptos و BNB Smart Chain، بدافزارهای «DEV#POPPER RAT» و «OmniStealer» را بارگیری می‌کند. کارشناسان امنیتی به کاربران آسیب‌دیده توصیه می‌کنند محیط توسعه خود را در معرض خطر تلقی کنند، اعتبارنامه‌های (credentials) افشاشده را از یک دستگاه پاک تغییر دهند و فایل‌های پیکربندی مشکوک نظیر «tasks.json.» و «eslint.config.js» را بررسی نمایند.