Se ha detectado una nueva oleada de ataques de cadena de suministro dirigida a desarrolladores, denominada PolinRider. Esta campaña, vinculada a amenazas de Corea del Norte, consiste en ocultar cargadores de JavaScript malicioso dentro de repositorios de código abierto confiables para infectar a quienes los ejecuten.

Una nueva ola de ataques a la cadena de suministro se está extendiendo por el mundo del código abierto y, esta vez, el objetivo son los propios desarrolladores.

Investigadores de seguridad han descubierto una campaña llamada PolinRider que oculta cargadores de JavaScript maliciosos dentro de repositorios de código confiables, esperando a que desarrolladores desprevenidos los ejecuten.

La campaña ha sido vinculada a actores de amenazas de Corea del Norte relacionados con los grupos de actividad Contagious Interview y Famous Chollima.

Estos grupos son conocidos por dirigirse a ingenieros de software con ofertas de trabajo falsas y pruebas de programación infectadas; PolinRider parece ser una extensión de esa estrategia, solo que esta vez oculta dentro de paquetes que parecen legítimos.

Lo que hace que PolinRider sea peligroso es su alcance. Comenzó en npm, pero desde entonces se ha extendido a Packagist, módulos de Go e incluso a una extensión de Chrome, lo que demuestra que los atacantes no se limitan a un solo ecosistema.

Investigadores de Socket.dev afirmaron que la campaña ha crecido mucho más de lo que sugerían los informes anteriores.

Socket.dev señaló en un informe que identificaron 162 artefactos de lanzamiento maliciosos distribuidos en 108 paquetes y extensiones únicos, incluyendo 80 módulos de Go comprometidos, 10 paquetes de Packagist y una extensión de Chrome.

La escala de este descubrimiento muestra cómo un solo grupo puede envenenar silenciosamente múltiples rincones de la cadena de suministro de código abierto a la vez. Debido a que el código malicioso se oculta dentro de archivos que parecen legítimos, muchos desarrolladores pueden haberlo instalado sin darse cuenta de que algo estaba mal.

Hackers vinculados a Corea del Norte ocultan cargadores de JavaScript

Los atacantes detrás de PolinRider confían en una mezcla de trucos viejos y nuevos para permanecer ocultos. Las primeras olas enterraban JavaScript ofuscado dentro de archivos de configuración, como aquellos que terminan en config.js, confiando en que los desarrolladores no revisarían cada línea de código.

Versiones más recientes disfrazan el script malicioso como un archivo de fuente falso .woff2, un formato que la mayoría de los desarrolladores nunca pensaría inspeccionar.

La ejecución se activa silenciosamente a través de archivos de tareas de Visual Studio Code, que pueden ejecutarse automáticamente cuando se abre una carpeta.

Una vez activo, el cargador se conecta a servicios de blockchain y RPC públicos, incluyendo las redes TRON, Aptos y BNB Smart Chain.

Utiliza estas conexiones para obtener un payload de segunda etapa cifrado, lo descifra con una clave XOR integrada y lo ejecuta mediante la función eval.

Los payloads observados hasta ahora incluyen DEV#POPPER y OmniStealer, ambos capaces de ejecutar comandos remotos, comunicarse con servidores de atacantes a través de socket.io-client y robar credenciales, datos del navegador e información de billeteras.

Cuentas comprometidas y manipulación de repositorios

Una parte importante de esta campaña se centra en una cuenta de GitHub llamada Xpos587. Varios repositorios vinculados a esta cuenta fueron modificados dentro de la misma ventana estrecha el 23 de junio a las 10:00 UTC, un patrón que coincide con la toma de control de una cuenta más que con un mantenimiento normal.

Dos repositorios conectados a esta cuenta, Xpos587/git2md y Xpos587/markfetch, junto con un proyecto separado llamado Artiffusion-Inc/mirofish, fueron encontrados portando el cargador oculto.

El repositorio markfetch utilizó el truco de la fuente falsa, mientras que mirofish ocultó su payload dentro de un archivo llamado vite.config.js.

En Packagist, la campaña se expandió a través de un espacio de nombres llamado sevenspan, vinculado a la organización 7span, estando el paquete 7span/react-list entre los afectados.

Los mantenedores eliminaron los archivos de fuentes falsas una vez descubiertos, pero el código ofuscado oculto en los archivos de configuración permaneció intacto, demostrando que una limpieza parcial no es suficiente.

Los atacantes también utilizaron la reescritura del historial de Git, incluyendo "force pushes" y commits con fechas retroactivas, para que el código manipulado parezca más antiguo de lo que realmente es.

El historial de commits visible en GitHub no puede ser confiable por sí solo, y los defensores deben revisar los registros de actividad directamente.

Los equipos de seguridad deben tratar cualquier entorno que ejecute un paquete afectado como comprometido hasta que se demuestre lo contrario.

La empresa recomendó preservar la evidencia forense, reconstruir desde archivos de bloqueo (lockfiles) conocidos como buenos y rotar los secretos expuestos desde una máquina limpia en lugar de la infectada.

La guía adicional incluye auditar las máquinas en busca de tareas de VS Code configuradas para ejecutarse automáticamente al abrir una carpeta, y revisar los repositorios en busca de cambios sospechosos en archivos como tasks.json, config.js y vite.config.js.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionadamente (ej., [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.