Uma campanha de ciberataques orquestrada por hackers norte-coreanos está em pleno andamento em 2026. Apelidada de PolinRider, ela visa furtivamente desenvolvedores por meio de pacotes e extensões maliciosas no GitHub e em diversos registros públicos de pacotes. Essa ofensiva atinge toda a cadeia de suprimentos de software, ameaçando diretamente os ambientes de desenvolvimento.
Mais de 1.900 repositórios do GitHub foram comprometidos desde abril, abrigando código infectado. Isso não é apenas um blefe: os métodos utilizados são notavelmente técnicos e precisos, evitando o roubo direto de senhas. Então, o que o PolinRider realmente está escondendo e até que ponto podemos estar expostos?
PolinRider: uma campanha norte-coreana que explora múltiplos registros de pacotes.
A operação vai muito além da simples disseminação de vírus em um pacote isolado. O PolinRider tem como alvo 108 pacotes e extensões, distribuídos pelo npm, Go, Packagist e até mesmo pela Chrome Web Store. Na prática, 162 artefatos maliciosos foram identificados, com forte presença em bibliotecas npm e módulos Go.
Os responsáveis por esta campanha são experientes e organizados. Já em 2023, utilizavam a mesma estratégia sob o nome de Operação Entrevista Contagiosa. A sua principal tática continua a ser a falsificação de identidade: falsos recrutadores contactam programadores no LinkedIn ou em plataformas de freelancers. O objetivo? Ganhar a sua confiança para, mais tarde, infiltrá-los nas suas redes de contactos.
Milhares de repositórios do GitHub mantidos como reféns sem que as senhas fossem quebradas.
Não se clica casualmente no botão “senha roubada” como um amador. Trata-se de uma intrusão sofisticada: hackers obtêm controle de contas de administradores explorando vulnerabilidades secundárias, como domínios expirados ou recuperação de conta. Em seguida, injetam código malicioso em projetos que estão sendo efetivamente utilizados.
Em 11 de abril de 2026, mais de 1900 repositórios pertencentes a 1047 proprietários diferentes foram comprometidos. O ataque é tão metódico que o código infectado se mistura com arquivos de configuração comuns em um ambiente Node.js ou React, passando despercebido.
Técnicas avançadas de camuflagem e infecção para enganar a segurança.
Não basta simplesmente plantar um vírus visível. O PolinRider usa truques dignos de um hacker experiente. O código malicioso geralmente fica escondido atrás de espaços em branco ou enterrado em arquivos falsos — como fontes .woff2, por exemplo. Scripts para Windows e Linux modificam os metadados do Git para que os commits maliciosos pareçam vir diretamente do criador legítimo.
Outra artimanha? Arquivos de tarefas do VS Code colocados nos repositórios forçam a execução automática de scripts quando o projeto é aberto. Imagine uma armadilha invisível que é acionada assim que sua IDE é aberta. Essa técnica é chamada de TaskJacker.
A infecção se espalha sem o uso de exploits clássicos ou roubo de senhas.
Aqui não é necessário roubo de senhas nem vulnerabilidade de dia zero. O método envolve explorar o acesso existente a contas de manutenção mal protegidas. Uma vez instalado, o malware explora a cadeia de suprimentos. O desenvolvedor importa um pacote que parece confiável e, pronto, abre as portas para o malware.
Este ataque visa capturar informações sensíveis e estabelecer uma ligação com blockchains como TRON e Binance Smart Chain. Duas ferramentas sofisticadas são utilizadas: o RAT DEV#POPPER para acesso remoto e o OmniStealer para roubar dados sensíveis.
Que precauções devem ser tomadas contra a ameaça do PolinRider?
Se você tiver a menor dúvida sobre um pacote, é hora de revisar seriamente sua configuração. Qualquer máquina que tenha importado um pacote comprometido está quase certamente comprometida também. A prioridade número um: execute todas as chaves de acesso e tokens a partir de uma máquina em que você confia.
Não se deixe enganar por um commit que pareça normal: audite seus repositórios, examine arquivos de configuração como .vscode/tasks.json, eslint.config.js ou next.config.js. Confie principalmente nos logs de atividade do servidor e não no histórico do Git, que é facilmente falsificado nesse caso.
Um sinal de alerta para toda a cadeia de suprimentos de software.
PolinRider nos lembra que o arsenal dos hackers evoluiu. A segurança não pode mais se concentrar em um único pacote, biblioteca ou extensão. Todas as ferramentas que envolvem seus projetos estão suscetíveis a serem comprometidas! A vigilância deve se tornar um hábito, e a cadeia de suprimentos de software, uma área crítica a ser monitorada imediatamente.
Esta é uma tarefa para administradores experientes. Usuários menos experientes podem lidar com chamados no Teams, mas, ao se depararem com esse tipo de ameaça, é preciso estar muito atento para evitar ser completamente explorado. O risco é simples: a confiança no seu código pode ser perdida com apenas alguns cliques maliciosos.
Fonte: android-mt.ouest-france.fr
Comments
Leave a comment