近期安全研究揭露了一場名為 PolinRider 的大規模供應鏈攻擊行動。這次攻擊由與北韓關聯的駭客組織發起，目標精準鎖定軟體開發者與加密貨幣產業從業人員。攻擊者不僅在 npm、Packagist、Go 等主流套件管理系統中發布了超過 100 個惡意套件，更利用了開發者對 IDE 工具的信任，將惡意程式碼潛伏在日常開發環境中。
對於工程師而言，尤其是 Junior 工程師來說，這場攻擊揭示了一個核心風險：我們習慣信任的開源套件、IDE 設定檔，甚至 Git 的提交紀錄，都可能被操縱。
攻擊路徑與技術手法
這場攻擊並非單純的釣魚郵件，而是一套精心設計的組合拳，其核心路徑可分為三個階段。
第一階段：獲取信任與權限 攻擊者採取兩種方式進入開發者的環境。一種是透過 Contagious Interview 社交工程，假冒獵頭或招聘人員在 LinkedIn 等平台接觸開發者，以面試測試為由誘騙其執行惡意代碼。另一種則是直接攻破開源套件維護者的帳號（可能是透過過期域名接管或帳號恢復漏洞），直接將惡意程式碼注入到合法套件的新版本中。
第二階段：利用 IDE 自動化觸發 這是 PolinRider 最狡猾的地方。攻擊者利用 VS Code 的 tasks.json 設定檔，在其中加入 runOn: folderOpen 選項。這意味著當開發者使用 VS Code 或 Cursor 等編輯器打開該專案資料夾時，IDE 會自動執行定義好的任務，而不需要開發者手動執行任何指令，就直接觸發惡意 JavaScript 載入器。
第三階段：隱匿與持久化 為了躲避偵測，攻擊者使用了多種偽裝手段。他們將惡意代碼混淆後，隱藏在看似無害的 .woff2 字體檔案中，或使用大量空白字元來干擾靜態分析工具。更危險的是，他們會利用 Windows 批次指令或類似工具重寫 Git 歷史紀錄（Git History Rewriting），透過強制推送（Force Push）並偽造提交日期，讓惡意變更看起來像是很久以前由原作者提交的，使開發者在查看 Git Log 時無法察覺異常。
惡意行為與影響
一旦惡意代碼在開發者機器上執行，它會首先掃描專案中的關鍵設定檔，例如 postcss.config.mjs、tailwind.config.js 或 eslint.config.js 等。如果發現這些檔案，它會直接將惡意 JavaScript 程式碼附加到檔案末尾。
隨後，該載入器會連接至區塊鏈基礎設施（如 TRON 或 BNB Smart Chain），下載第二階段的加密載荷，最終部署 DEV#POPPER RAT（遠端存取木馬）或 OmniStealer（資訊竊取程式）。這類工具能讓攻擊者完全控制開發者的電腦，竊取環境變數、API 金鑰、私鑰以及原始碼。
工程實務上的防禦建議
面對這種深層次的供應鏈攻擊，單靠防毒軟體是不夠的，開發者應採取以下實務操作。
首先，審查 IDE 設定檔。請務必檢查專案中 .vscode/tasks.json 是否包含可疑的自動執行指令，尤其是任何在資料夾打開時就觸發的任務。
其次，不要盲目信任 Git 提交紀錄。如果一個專案突然出現大量歷史紀錄的變動，或者提交日期異常，應提高警覺。建議透過檢查 Repository Activity Logs（儲存庫活動日誌）而非僅看 Commit History 來確認變更來源。
第三，嚴格管理依賴項。使用 lockfile（如 package-lock.json 或 go.sum）來確保環境一致性，避免在更新套件時意外安裝到被污染的新版本。
最後，環境隔離。在執行未知的開源專案或面試測試代碼時，請務必使用虛擬機（VM）或容器（Container）等隔離環境，絕對不要在存有公司金鑰或個人私鑰的主機上直接打開可疑專案。
若懷疑環境已被入侵，應立即在乾淨的機器上輪換（Rotate）所有暴露的 Secrets 與金鑰，移除受影響的套件版本，並對開發工作站進行全面的安全稽核。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。