北朝鮮ハッカー集団が「PolinRider」キャンペーンを展開、npmやChrome拡張など108個の悪意あるパッケージを公開

要点

• 北朝鮮に関連する脅威アクターが、開発ツールやライブラリに悪意あるコードを仕込む「PolinRider」キャンペーンを展開している。

• 悪意あるパッケージはnpmやGoモジュール、Google Chrome拡張など多岐にわたり、これまでに108個が公開された。

• 攻撃者は偽の採用面接を持ちかける「Contagious Interview」を悪用し、開発者にマルウェアを実行させる。

• 侵害環境では、VS Codeでフォルダを開くだけでコードが実行される仕掛けや、Git履歴の改ざんが行われていた。

• コミット履歴の偽装により外観からの検知が困難なため、専門家はリポジトリのログや設定ファイルの確認を呼びかけている。

• セキュリティ企業Socket（ソケット）の研究者であるKarlo Zanki氏らが今週公開した分析により、北朝鮮に関連する脅威アクター（サイバー攻撃を行う組織や個人）が「PolinRider（ポリンライダー）」と呼ばれるキャンペーンを通じて、npmやGoモジュール、Google Chrome拡張機能などのプラットフォーム上で計108個の悪意あるパッケージや拡張機能を公開していたことが明らかになった。このキャンペーンは現在も活発で、攻撃者はアカウントを乗っ取ってリポジトリを改ざんし続けているという。

開発者を狙う「Contagious Interview」との関連

PolinRiderは、「Contagious Interview（コンテイジャス・インタビュー）」と呼ばれる攻撃キャンペーンの系譜に属している。これはソフトウェア開発者や暗号資産（仮想通貨）セクターで働く人々を標的とし、説得力のある求人面接や技術試験を通じて悪意あるコードを実行させる手法である。

少なくとも2023年から活動が確認されており、攻撃者はLinkedInなどで採用担当者を装う。信頼を得るためAI生成のプロフィール画像や架空の企業を用意してアプローチし、最終的にマルウェア（デバイスに不正な動作を行わせるプログラム）を感染させる。

被害の拡大と「TaskJacker」との統合

PolinRiderは2026年3月にOpenSourceMalwareチームに初めて報告された。当初は、公開リポジトリに難読化（コードを人間や解析ツールから分かりにくくすること）された悪意あるJavaScriptペイロードを埋め込み、マルウェア「BeaverTail」を感染させるものだった。

その後被害は拡大し、2026年4月11日時点で1,951の公開リポジトリが侵害された。今回確認された162個の悪意あるリリース（公開用ファイル）は108個のパッケージ等に対応しており、その内訳は19個のnpm（JavaScriptのパッケージ管理システム）ライブラリ、10個のComposer（PHPの依存関係管理ツール）パッケージ、61個のGoモジュール（Go用のライブラリ）、1個のChrome拡張機能である。

さらに、リポジトリに悪意あるVS Codeタスクを忍び込ませる「TaskJacker」と呼ばれる活動とも統合された。このタスクには "runOn: 'folderOpen'" と記述されており、開発者がVS CodeやCursorなどのエディタ（テキスト編集ソフト）でフォルダを開いただけで、気づかないうちに悪意あるコードが実行される仕組みだ。

メンテナーのアカウント乗っ取りとコードの隠蔽

脅威アクターはGitHubの認証情報を盗むのではなく、悪意ある拡張機能などを介して被害者を侵害し、アカウント回復ルート等を悪用して管理者であるメンテナー（開発・管理者）アカウントを乗っ取ったと推測されている。

権限を得た攻撃者は、postcss.config.mjs や app.js などの設定ファイルに悪意あるコードを追記する。このコードは、大量の空白文字や偽のフォントファイル（.woff2）の中に巧妙に隠蔽されている。

巧妙なGit履歴の書き換えと最終ペイロード

さらに攻撃者は、Git（プログラムのバージョン管理システム）の変更履歴を書き換えて、悪意あるコードの追加が本来の開発者によって過去に行われたかのように見せかけていた。この履歴偽装により、GitHub上の見た目の履歴は侵害の判断指標として信頼できなくなっている。

実行されたマルウェアは、TRON、Aptos、BNB Smart Chainといったブロックチェーン（取引履歴を分散管理する技術）インフラに接続し、暗号化された第二段階のペイロードをダウンロードする。これが展開されると、最終的に遠隔操作ツール（RAT：外部からデバイスを操作するプログラム）の「DEV#POPPER」や「OmniStealer」として機能し、機密データを詐取するという。

防御側が取るべき対策

SocketのZanki氏は、GitHub上の履歴だけに頼るのではなく、リポジトリのアクティビティログやパッケージのリリースデータ、VS Codeのタスク設定、設定ファイルへの不審な変更などを確認するよう推奨している。