De tar kommandot inifrån – nordkoreanska hackare har förgiftat kodbibliotek som miljontals utvecklare förlitar sig på dagligen
Nordkoreanska hackare har förgiftat kodbibliotek som miljontals utvecklare använder dagligen.
När grunden angrips
Öppen källkod är ryggraden i modern mjukvaruutveckling. NPM, Go-moduler, Packagist – det är infrastruktur som miljontals utvecklare förlitar sig på dagligen, ofta utan att tänka ett ögonblick på vad som faktiskt finns i de paket de laddar ner. Det är precis den tilliten som nordkoreanska hackare nu utnyttjar.
Säkerhetsföretaget Socket har kartlagt en kampanj de döpt till PolinRider, och bilden som växer fram är oroväckande. Enligt SecurityWeek har angriparna sedan december 2025 komprometterat 108 unika paket och spridit sammanlagt 162 skadliga versioner – och fler väntas tillkomma.
En genomtänkt och tålmodig attackstrategi
Det som gör PolinRider särskilt besvärligt att försvara sig mot är metodiken. Angriparna tar inte vägen via brutala intrång eller uppenbar skräppost – de tar kontroll över underhållarkonton och manipulerar legitima, välkända kodförråd inifrån. Sedan skriver de om versionshistoriken för att få de skadliga ändringarna att se äldre ut än de faktiskt är.
Det är ett klassiskt sätt att kringgå den enkla tumregeln "välj det äldsta och mest beprövade paketet". När historiken är förfalskad finns den regeln inte längre att luta sig mot.
I de komprometterade förråden döljer sig förvrängda kodladdare som ansluter till blockkedjeinfrastruktur för att hämta krypterade skadeprogram. Det är ett smart val av kanal – blockkedjetrafik är svår att filtrera utan att blockera legitima tjänster, och det skapar ytterligare ett lager av fördunkling för den som försöker analysera attacken.
De slutliga skadeprogrammen är DEV#POPPER – ett fjärrstyrningsprogram som ger angriparna full kontroll över den drabbade maskinen – samt OmniStealer, ett informationstjuveprogram utformat för att suga upp känslig data.
Bredd och eskalering
Kampanjen riktar sig mot flera ekosystem parallellt: NPM för JavaScript-världen, Go-moduler för det snabbväxande Go-ekosystemet, Packagist för PHP – och dessutom Chrome-tillägg, som når användare långt utanför den traditionella utvecklarmiljön.
Nyligen utvidgades attackerna till Packagist, där angriparna gömde skadlig kod i konfigurationsfiler som missades vid städningsförsök. Det antyder att kampanjen är aktiv, anpassningsbar och att de som driver den lär sig av varje städningsinsats som görs mot dem.
Det är inte längre en fråga om ett enstaka komprometterat paket som snabbt rensas bort. Det är en pågående, skalbar operation.
Vad det innebär för dig som utvecklare
Som systemutvecklare är det lätt att känna sig hjälplös inför den här typen av angrepp. Vi är vana vid att lita på pakethanterare, på kodförråd med stjärnor och aktiva underhållare, på versionshistorik. PolinRider underminerar precis de signalerna.
Men det finns konkreta åtgärder att ta till:
- Granska beroenden aktivt – verktyg som Socket, Dependabot och liknande kan flagga misstänkta förändringar i paket du redan använder.
- Lås versioner noggrant – undvik att automatiskt plocka upp nyare versioner utan granskning.
- Bevaka underhållarkonton – om ett paket du litar på byter underhållare plötsligt, är det värt en extra titt.
- Inför kodgranskning av beroendeuppdateringar i era byggflöden, precis som ni granskar er egen kod.
Försörjningskedjeattacker av det här slaget är inte nya – SolarWinds 2020 och det uppmärksammade XZ Utils-fallet 2024 visade hur förödande de kan bli. Men PolinReet skapar ett nytt prejudikat i hur systematiskt och uthålligt en statsstödd aktör kan bedriva dessa kampanjer mot öppen källkod.
Vår analys
Det som gör PolinRider så principiellt viktigt är att det är ett angrepp mot tillitsmodellen i öppen källkod – inte bara mot enskilda verktyg. Öppen källkod fungerar för att vi kollektivt litar på att gemensamma kodförråd är vad de utger sig för att vara. När statsstödda aktörer systematiskt arbetar för att undergräva den tilliten, förändras spelreglerna.
Jag tror att vi kommer att se en branschrörelse mot mer formell verifiering av paketunderhållare och kryptografisk signering av paket – något som diskuterats länge men ofta prioriterats ned. PolinRider kan bli det prejudikat som faktiskt driver förändring.
Det är också en påminnelse om att AI-baserade verktyg för kodgranskning och beroendeanalys nu har ett genuint säkerhetsfall att lösa. Att automatiskt känna igen mönster av manipulerad versionshistorik eller ovanlig nätverkstrafik i byggmiljöer är precis det AI är bra på. Hotet är allvarligt – men svaret kan vara smartare verktyg, inte bara mer vaksamhet.