PolinRider

📊 Impact 통계

5 주만에 2.9 배 확산. 단일 오픈소스 프로젝트(Neutralinojs, 8.4k stars) 침해로 contributor 수백 명에 도미노 감염.

🗓 캠페인 타임라인

🎯 4 가지 감염 벡터

모두 동일 캠페인 산출물. 동일 victim 에 복수 벡터가 적용되기도 함.

🧬 2 종 obfuscator 변종 비교

아키텍처(4-layer shuffle cipher + 블록체인 dead-drop C2)는 동일. Apr 10 에 모든 unique fingerprint 가 rotation 됨 — 공개된 YARA 룰 회피 목적이 강력히 의심됨.

📡 C2 인프라

Vercel 호스팅 HTTP C2 (TasksJacker 벡터)

URL 패턴: https://<sub>.vercel.app/settings/(mac|linux|win)?flag=<N>

블록체인 dead-drop (2 차 페이로드)

🎭 가짜 면접 take-home 템플릿

Contagious Interview playbook — 가짜 채용 담당자가 후보자에게 보내는 사전감염 코딩 테스트.

📦 악성 npm 패키지

전부 Tailwind/PostCSS 사칭. allavin · blackedward 등 publisher 계정 모두 삭제. ghost 참조는 package.json 에 잔존.

🪟 temp_auto_push.bat — git history 위조 도구

공격자가 감염 머신 101 곳에 leftover 로 남긴 Windows 배치. JS 페이로드가 청소되어도 이 파일 자체가 과거 침해의 직접 증거.

@echo off
:: 1) 마지막 commit 의 metadata 추출
for /f "delims=" %%A in ('git log -1 --format=%%cd') do set LAST_COMMIT_DATE=%%A
...

:: 2) Windows 시스템 시계를 last commit 시점으로 변경
date %LAST_COMMIT_DATE%
time %LAST_COMMIT_TIME%

:: 3) author 위장 후 amend — 시계가 과거이므로 timestamp 보존됨
git config --local user.name %USER_NAME%
git config --local user.email %USER_EMAIL%
git add .
git commit --amend -m "%LAST_COMMIT_TEXT%" --no-verify

:: 4) 시계 복구 후 force push (--no-verify 로 hook 우회)
date %CURRENT_DATE%
git push -uf origin %CURRENT_BRANCH% --no-verify

Windows 시계 변경엔 관리자 권한 필요. force-push 로 remote history 덮어쓰기. 두 --no-verify 로 CI/pre-commit hook 완전 우회. 결과 — author · timestamp · 메시지가 원본과 동일한 위조 commit. 평범한 git log 검사로 탐지 불가.

🔍 YARA 룰 — 두 변종 동시 탐지

rule polinrider_payload {
    meta:
        description = "PolinRider shuffle-cipher — v1 rmcej%otb% + v2 Cot%3t=shtP"
        author      = "OpenSourceMalware.com"
        date        = "2026-04-10"
        severity    = "high"

    strings:
        // v1 fingerprints
        $marker_v1   = "rmcej%otb%"
        $seed1_v1    = "2857687"
        $seed2_v1    = "2667686"
        $varname_v1  = "_$_1e42"
        $global_bang = "global['!']"

        // v2 fingerprints (rotated, Apr 2026)
        $marker_v2   = "Cot%3t=shtP"
        $seed1_v2    = "1111436"
        $seed2_v2    = "3896884"
        $varname_v2  = "MDy"
        $global_V    = "global['_V']"

        // 공통
        $global_r    = "global['r'] = require"
        $global_m    = "global['m'] = module"

    condition:
        any of ($marker_*) or
        ($global_bang and ($seed1_v1 or $varname_v1)) or
        ($global_V    and ($seed1_v2 or $varname_v2)) or
        ($global_r and $global_m and (any of ($seed1_*)))
}

🚨 Incident Response 체크리스트

감염 의심 시 즉시

• 모든 JS config 파일에서 export default 또는 module.exports 뒤쪽 코드 감사. monorepo nested path (apps/*/, frontend/, client/) 도 확인
• temp_auto_push.bat · config.bat 존재 여부 확인 — JS 페이로드가 청소됐어도 이 파일은 과거 침해의 직접 증거, 즉시 credential rotation
• 기본 브랜치가 아닌 모든 브랜치 + git history 도 스캔 (force push 위조 가능성)
• public/ · static/ · assets/ 의 예상하지 못한 .woff / .woff2 검토 (fake-font sub-variant)
• package.json 에서 Tailwind/PostCSS 계열 신규/업데이트 의존성 (위 7 패키지)
• grep -r "postinstall" node_modules/*/package.json 으로 postinstall script 전수조사
• .vscode/tasks.json 의 runOn: folderOpen + curl|bash 패턴, StakingGame UUID e9b53a7c-2342-4b15-b02d-bd8b8f6a03f9

크리덴셜 로테이션

• npm publish 토큰
• GitHub PAT + Actions secrets
• AWS access key + IAM
• K8s SA token, Vault token, SSH key, Docker login
• 빌드 환경에 노출되었을 모든 env / .env 시크릿

네트워크 차단

• 6 개 Vercel 서브도메인 아웃바운드 차단 (위 C2 표 참조)
• TRON: api.trongrid.io 접근 모니터 (정상 사용 분기 필요)
• Aptos: fullnode.mainnet.aptoslabs.com 모니터

지속 모니터링

• 위 multi-variant YARA 룰을 정적 분석 파이프라인에 추가
• GitHub Code Search 지속 쿼리: filename:temp_auto_push.bat, LAST_COMMIT_DATE LAST_COMMIT_TIME extension:bat
• npm registry: postinstall 이 root config 파일에 write 하는 패키지 플래그
• 중요 — 청소된 repo 라도 주기적 재스캔. v2 변종으로의 재감염 사례 확인됨