PolinRider: Besteht Gefahr, wenn nordkoreanische Hacker GitHub ins Visier nehmen?

Eine von nordkoreanischen Hackern orchestrierte Cyberangriffskampagne ist im Jahr 2026 in vollem Gange. Unter dem Namen PolinRider zielt sie unbemerkt auf Entwickler ab, indem sie schädliche Pakete und Erweiterungen auf GitHub und verschiedenen öffentlichen Paketdatenbanken verbreitet. Dieser Angriff greift die gesamte Software-Lieferkette an und bedroht Entwicklungsumgebungen unmittelbar.

Seit April wurden über 1.900 GitHub-Repositories kompromittiert und mit Schadcode infiziert. Das ist kein Bluff: Die verwendeten Methoden sind bemerkenswert technisch und präzise und vermeiden den direkten Diebstahl von Passwörtern. Was verbirgt PolinRider also wirklich, und wie weit sind wir gefährdet?

PolinRider: eine nordkoreanische Kampagne, die mehrere Paketregister ausnutzt

Die Operation geht weit über die bloße Verbreitung von Viren in einem einzelnen Paket hinaus. PolinRider zielt auf 108 Pakete und Erweiterungen ab, die über npm, Go, Packagist und sogar den Chrome Web Store verteilt sind. Konkret wurden 162 schädliche Artefakte identifiziert, die vor allem in npm-Bibliotheken und Go-Modulen stark vertreten sind.

Die Akteure hinter dieser Kampagne sind erfahren und gut organisiert. Bereits 2023 setzten sie dieselbe Strategie unter dem Namen „Operation Contagious Interview“ ein. Ihre Haupttaktik ist nach wie vor die Identitätsfälschung: Falsche Personalvermittler kontaktieren Entwickler über LinkedIn oder Freelance-Plattformen. Das Ziel? Ihr Vertrauen zu gewinnen, um sie später besser infiltrieren zu können.

Tausende GitHub-Repositories ohne Passwortknacken als Geisel gehalten

Man klickt nicht einfach wie ein Amateur auf den Button „Gestohlenes Passwort“. Das ist ein ausgeklügelter Angriff: Hacker verschaffen sich die Kontrolle über die Accounts der Systemadministratoren, indem sie sekundäre Sicherheitslücken ausnutzen, beispielsweise abgelaufene Domains oder Probleme bei der Kontowiederherstellung. Anschließend schleusen sie Schadcode in Projekte ein, die tatsächlich genutzt werden.

Am 11. April 2026 wurden über 1900 Repositories von 1047 verschiedenen Besitzern kompromittiert. Der Angriff ist so methodisch, dass sich der infizierte Code in gängigen Konfigurationsdateien einer Node.js- oder React-Umgebung unauffällig einfügt.

Fortgeschrittene Tarn- und Infektionstechniken zur Täuschung der Sicherheitskräfte

Es reicht nicht, einfach einen sichtbaren Virus einzuschleusen. PolinRider bedient sich Tricks, die selbst erfahrenen Hackern zur Ehre gereichen. Der Schadcode ist oft hinter Leerzeichen versteckt oder in gefälschten Dateien eingebettet – beispielsweise in .woff2-Schriftarten. Windows- und Linux-Skripte verändern Git-Metadaten, sodass die schädlichen Commits scheinbar direkt vom rechtmäßigen Ersteller stammen.

Ein weiterer Trick? In den Repositories platzierte VS Code-Taskdateien erzwingen die automatische Ausführung von Skripten beim Öffnen des Projekts. Stellen Sie sich eine unsichtbare Falle vor, die beim Start Ihrer IDE ausgelöst wird. Diese Technik nennt sich TaskJacker.

Die Infektion breitet sich ohne klassische Exploits oder Passwortdiebstähle aus.

Hierfür sind weder Passwortdiebstahl noch Zero-Day-Schwachstellen erforderlich. Die Methode nutzt bestehende Zugriffsrechte auf schlecht geschützte Administratorenkonten aus. Sobald die Schadsoftware installiert ist, greift sie in die Lieferkette ein. Der Entwickler importiert ein scheinbar vertrauenswürdiges Paket und öffnet damit – zack! – der Schadsoftware Tür und Tor.

Dieser Angriff zielt darauf ab, sensible Informationen zu erbeuten und eine Verbindung zu Blockchains wie TRON und Binance Smart Chain herzustellen. Dabei kommen zwei hochentwickelte Tools zum Einsatz: DEV#POPPER RAT für den Fernzugriff und OmniStealer zum Diebstahl sensibler Daten.

Welche Vorsichtsmaßnahmen sollten gegen die PolinRider-Bedrohung getroffen werden?

Wenn Sie auch nur den geringsten Zweifel an einem Paket haben, sollten Sie Ihre Konfiguration dringend überprüfen. Jeder Rechner, der ein kompromittiertes Paket importiert hat, ist mit hoher Wahrscheinlichkeit ebenfalls kompromittiert. Oberste Priorität: Führen Sie alle Zugriffsschlüssel und Tokens von einem vertrauenswürdigen Rechner aus.

Lassen Sie sich nicht von einem scheinbar normalen Commit täuschen: Überprüfen Sie Ihre Repositories und prüfen Sie Konfigurationsdateien wie .vscode/tasks.json, eslint.config.js oder next.config.js sorgfältig. Verlassen Sie sich primär auf die Server-Aktivitätsprotokolle und nicht auf den Git-Verlauf, der hier leicht manipuliert werden kann.

Ein Warnsignal für die gesamte Software-Lieferkette

PolinRider erinnert uns daran, dass sich das Arsenal der Hacker weiterentwickelt hat. Sicherheit darf sich nicht länger auf ein einzelnes Paket, eine Bibliothek oder eine Erweiterung beschränken. Alle Tools, die mit Ihren Projekten in Verbindung stehen, sind potenziell angreifbar! Wachsamkeit muss zur Selbstverständlichkeit werden, und die Software-Lieferkette muss umgehend überwacht werden.

Dies ist eine Aufgabe für erfahrene Administratoren. Jüngere Nutzer können zwar Teams-Tickets bearbeiten, aber angesichts solcher Bedrohungen ist Wachsamkeit gefragt, um nicht ausgenutzt zu werden. Es geht um viel: Das Vertrauen in Ihren Code kann mit wenigen böswilligen Klicks zerstört werden.

Quelle: android-mt.ouest-france.fr