Actores de amenazas de Corea del Norte, vinculados a la campaña Contagious Interview, han distribuido paquetes y extensiones maliciosas mediante la operación PolinRider. Engañan a desarrolladores y expertos en criptomonedas simulando ofertas de empleo para implantar malware en repositorios de GitHub y herramientas como VS Code. El objetivo final es el robo de datos y el acceso remoto a través de payloads ocultos y la manipulación del historial de Git.

Los actores de amenazas de Corea del Norte vinculados a la campaña Contagious Interview han sido observados publicando 108 paquetes únicos y extensiones de navegador web que abarcan npm, Packagist, Go y Google Chrome como parte de una actividad en curso denominada PolinRider.

"La campaña sigue activa y es probable que sigan apareciendo nuevos paquetes maliciosos a medida que los actores de amenazas comprometan cuentas de mantenedores, modifiquen repositorios legítimos y publiquen versiones de paquetes infectados donde conservan u obtienen acceso al registro", dijo Karlo Zanki, investigador de seguridad de Socket, en un análisis publicado esta semana.

Los 162 artefactos de lanzamiento maliciosos abarcan múltiples versiones de lanzamiento correspondientes a 108 paquetes y extensiones únicos, incluyendo 19 librerías de npm, 10 paquetes de Composer, 61 módulos de Go y una extensión de Google Chrome.

Contagious Interview es el apodo asignado a una campaña alineada con Corea del Norte que instrumentaliza la contratación de empleo para dirigirse a desarrolladores de software e individuos que trabajan en los sectores de las criptomonedas, utilizando entrevistas de trabajo y evaluaciones persuasivas para engañarlos y que ejecuten código malicioso.

La actividad se sabe que está activa al menos desde 2023. Los atacantes se hacen pasar por reclutadores o colaboradores en plataformas como LinkedIn, GitHub o sitios web de freelance, a menudo creando elaboradas empresas pantalla y perfiles de empleados generados por IA para generar confianza y, finalmente, entregar malware.

PolinRider fue detectado por primera vez por el equipo de OpenSourceMalware en marzo de 2026, describiéndolo como una operación en la que los actores de amenazas implantan cargas útiles de JavaScript ofuscadas y maliciosas en cientos de repositorios públicos de GitHub pertenecientes a varios propietarios únicos para entregar una nueva variante de BeaverTail, un malware de JavaScript conocido asociado con Contagious Interview.

Hasta el 11 de abril de 2026, la actividad ha comprometido 1.951 repositorios públicos de GitHub asociados con 1.047 propietarios únicos, mientras que también se ha fusionado con otro grupo llamado TaskJacker que deposita archivos de tareas maliciosos de VS Code en los repositorios existentes de los usuarios de GitHub. Las tareas de VS Code incluyen la opción "runOn: 'folderOpen'" para activar la ejecución de código arbitrario cuando la carpeta se abre como una carpeta de espacio de trabajo en un IDE como VS Code o Cursor.

"El actor de amenazas no está utilizando credenciales de GitHub robadas", dijo OpenSourceMalware. "En cambio, las víctimas han sido comprometidas a través de una extensión maliciosa de VS Code o un paquete de npm". Se cree que los atacantes están tomando el control de las cuentas de los mantenedores, probablemente a través de la toma de control de dominios expirados o alguna otra vía de recuperación de cuenta para llevar a cabo el plan.

Una vez ejecutado, el malware busca en el ordenador infectado ciertos archivos como "postcss.config.mjs", "tailwind.config.js", "eslint.config.mjs", "next.config.mjs", "babel.config.js" y "app.js", y, si los encuentra, les añade código JavaScript malicioso.

También utiliza un script de lotes de Windows para modificar sigilosamente el último commit, haciendo que parezca que fueron realizados por el autor original. Se sospecha que se están utilizando herramientas similares para reescribir el historial de Git en otros sistemas operativos como Linux y macOS.

"La técnica principal se mantiene constante en toda la campaña: los actores de amenazas plantan cargadores de JavaScript ofuscados en repositorios legítimos, ocultan el código mediante relleno de espacios en blanco o archivos de fuentes .woff2 falsos, y activan la ejecución a través de herramientas de desarrollo como los archivos de tareas de VS Code", afirmó Socket.

En la última oleada, la carga útil funciona como un cargador de malware de JavaScript que se conecta a la infraestructura de blockchain, incluidos los servicios de TRON, Aptos y BNB Smart Chain, para obtener una carga útil de segunda etapa cifrada que se desempaqueta en DEV#POPPER RAT y OmniStealer. Esta cadena de ataque fue detallada por eSentire en marzo de 2026.

"Los actores de amenazas utilizan la reescritura del historial de Git, incluidos los push forzados y los commits antedatados, para que los cambios maliciosos parezcan más antiguos y menos sospechosos", dijo Zanki. "Esto hace que la página de inicio de GitHub y el historial de commits visible sean indicadores de compromiso poco fiables; deberías revisar los registros de actividad del repositorio, los metadatos de lanzamiento de paquetes, la configuración de tareas de VS Code y los cambios sospechosos en los archivos de configuración".

Este desarrollo ocurre mientras JFrog descubría un grupo de paquetes de npm vinculados a Contagious Interview, algunos de los cuales se hacaban pasar por herramientas de polyfill de Rollup para permitir el acceso remoto y el robo de datos. A principios de esta semana, se identificó otro conjunto de paquetes de npm y paquetes de Go que incorporaban tareas de ejecución automática de VS Code para ejecutar cargas útiles de JavaScript disfrazadas de archivos de fuentes falsos, lo que indica solapamientos tácticos entre Fake Font, TaskJacker y PolinRider.

Si has instalado estos paquetes, deberías tratar el entorno como comprometido, rotar los secretos expuestos desde una máquina limpia, eliminar las versiones afectadas y reconstruir desde un archivo de bloqueo (lockfile) conocido como seguro, y auditar las estaciones de trabajo y repositorios de desarrollo en busca de rutas de ejecución ocultas o commits sospechosos que hayan modificado los archivos ".vscode/tasks.json", "config.js", "vite.config.js" y "eslint.config.js".

Fuente:
THN