Une campagne de cyberattaque signée des hackers nord-coréens bat son plein en 2026. Dénommée PolinRider, elle cible en douce les développeurs via des paquets et extensions malicieux sur GitHub et plusieurs registres de paquets publics. Cette offensive s’attaque à toute la chaîne d’approvisionnement logicielle, menaçant directement les environnements de développement.
Plus de 1900 dépôts GitHub ont été compromis depuis avril, abritant des codes infectés. Ce n’est pas seulement un coup de bluff : les méthodes utilisées sont redoutablement techniques et précises, évitant le vol direct de mots de passe. Alors, qu’est-ce que PolinRider cache vraiment et jusqu’où peut-on être exposé ?
PolinRider : une campagne nord-coréenne qui exploite plusieurs registres de paquets
La manœuvre dépasse largement la simple diffusion de virus dans un paquet isolé. PolinRider concerne 108 paquets et extensions, disséminés sur npm, Go, Packagist, et même le Chrome Web Store. Sur le terrain, ce sont 162 artefacts malveillants qui ont été identifiés, avec une forte présence dans les bibliothèques npm et les modules Go.
Les acteurs derrière cette campagne sont expérimentés et organisés. Dès 2023, ils utilisaient déjà la même stratégie sous le nom d’opération Contagious Interview. Leur tactique première reste l’impersonation: de faux recruteurs contactent les développeurs sur LinkedIn ou des plateformes de freelancing. L’objectif ? Gagner la confiance pour mieux infiltrer ensuite.
Des milliers de dépôts GitHub pris en otage sans craquer les mots de passe
On ne file pas sur la touche « mot de passe volé » comme un amateur. Ici, on parle d’une intrusion fine : les hackers récupèrent le contrôle de comptes de mainteneurs en passant par des failles annexes, par exemple via des domaines expirés ou la récupération des comptes. Ensuite, ils injectent du code malveillant dans des projets réellement utilisés.
Le 11 avril 2026, plus de 1900 dépôts dans le giron de 1047 propriétaires distincts étaient compromis. L’attaque est tellement méthodique que le code infecté se mêle à des fichiers de configuration courants dans un environnement Node.js ou React, pour passer sous le radar.
Techniques avancées de camouflage et d’infection pour tromper la sécurité
Il ne suffit pas de planter un virus visible. PolinRider use de trucs dignes d’un vieux hacker chevronné. Le code malveillant est souvent dissimulé derrière des espaces blancs ou noyé dans de faux fichiers – prenez des polices .woff2 par exemple. Des scripts Windows et Linux modifient les métadonnées Git pour que les commits malveillants semblent sortir tout droit des mains du créateur légitime.
Autre astuce ? Des fichiers de tâches VS Code piégés posés dans les dépôts, qui forcent l’exécution automatique de scripts à l’ouverture du projet. Imaginez un piège invisible qui se déclenche dès que votre IDE s’ouvre. Le nom de cette technique : TaskJacker.
L’infection se propage sans exploits classiques ni braquage de mots de passe
Pas besoin d’un braquage de mot de passe ou d’une faille zero-day ici. La méthode consiste à exploiter les accès déjà existants à des comptes mainteneurs mal protégés. Une fois en place, le malware exploite la chaîne d’approvisionnement. Le développeur importe un paquet affiché comme fiable et, bam, il ouvre la porte au malware.
Cette attaque vise à capter des informations sensibles et établit une liaison avec des blockchains comme TRON et Binance Smart Chain. Deux outils malins débarquent : DEV#POPPER RAT pour un accès à distance et OmniStealer pour subtiliser des données sensibles.
Quelles précautions prendre face à la menace PolinRider ?
Si vous avez le moindre doute sur un paquet, il est temps de revoir sérieusement votre setup. Tout poste ayant importé un paquet compromis est sûrement compromis aussi. La première urgence : tourner toutes les clés d’accès et tokens à partir d’une machine dont on est sûr.
Ne vous laissez pas berner par un commit qui paraît normal : auditez vos dépôts, scrutez les fichiers de configuration comme .vscode/tasks.json, eslint.config.js, ou next.config.js. Fiez-vous surtout aux journaux d’activité serveurs et non à l’historique Git, facilement falsifiable ici.
Un signal d’alerte pour toute la chaîne d’approvisionnement logicielle
PolinRider nous rappelle que l’arsenal du hacker a évolué. La sécurité ne peut plus se focaliser sur un paquet, une librairie ou une extension. Tous les outils autour de vos projets sont susceptibles d’être piégés! La vigilance doit se muer en réflexe et la chaîne d’approvisionnement logicielle, en zone critique à surveiller dès maintenant.
C’est un travail pour les administrateurs aguerris. Les petits jeunes peuvent s’occuper des tickets Teams, mais face à ce type de menaces, il faut un œil carré pour ne pas se faire bouffer tout cru. L’enjeu est simple : la confiance dans votre code peut basculer en quelques clics de malveillance.
Source: android-mt.ouest-france.fr
Commentaires
Laisser un commentaire