Alerta Crítico: Malware PolinRider Usa A/B Testing Para Iludir Defesas em Repositórios GitHub

O malware PolinRider, atribuído ao governo da Coreia do Norte (DPRK), elevou o nível da ameaça em ataques à cadeia de suprimentos de software. Ele não se limita a comprometer máquinas de desenvolvedores via tarefas folderOpen do VS Code. O grande perigo está na capacidade de reescrever históricos de commits e realizar 'force-pushes' para injetar variantes em repositórios GitHub, como detalhado na análise da OpenSourceMalware.

A tática de A/B testing do PolinRider para aprimorar a evasão é particularmente preocupante. Os operadores testam diferentes ofuscadores, nomes de arquivos (de .woff2 para .llf) e locais de payload. Essa estratégia demonstra uma adaptabilidade contínua. O malware ainda tenta frustrar a limpeza, reutilizando mensagens e datas de commit para restaurar infecções. Casos anteriores de ataques via repositórios falsos, como o noticiado pelo CEVIU News em 21 de setembro de 2026 sobre o infostealer Rapuncel, ou em 19 de junho de 2026 sobre a campanha massiva no GitHub, mostram que este vetor de ataque é uma prioridade para grupos maliciosos.

A grande novidade na operação do PolinRider é a utilização explícita de A/B testing para otimizar a evasão. Isso significa que, em vez de uma evolução linear, há experimentação contínua com diferentes variáveis, como ofuscadores e marcadores de build, para descobrir quais são mais eficazes contra as defesas. Em contraste com ataques anteriores focados em comprometimento inicial, como os explorados via Git hooks que cobrimos em 13 de maio de 2026, o PolinRider agora atua ativamente para se manter presente e indetectável.

Outra mudança crítica é a versatilidade nas táticas de execução. Antes, o malware dependia de um padrão mais direto (como o .woff2 em um caminho específico). Agora, ele altera não só o nome do arquivo (de fa-solid-400.woff2 para fa-solid-300.llf, por exemplo), mas também o local e a forma de acionamento do payload, como via eslint.config.mjs ou até prisma.config.ts. Essa adaptabilidade dificulta a detecção baseada em assinaturas ou caminhos fixos, exigindo uma análise de conteúdo mais profunda e varreduras de todas as branches.

Para empresas e desenvolvedores, o PolinRider representa uma ameaça persistente e difícil de erradicar. A capacidade de reescrever o histórico de commits e realizar 'force-pushes' significa que a integridade do código pode ser comprometida de forma silenciosa e duradoura. Ataques como este podem levar ao roubo de propriedade intelectual, credenciais e informações sensíveis, ou à injeção de backdoors em softwares em produção, com consequências financeiras e reputacionais severas.

A sofisticação das táticas, incluindo A/B testing e a reversão de tentativas de limpeza, demanda uma postura de segurança proativa. É vital auditar logs de atividade de 'force-push', implementar bloqueios para essa funcionalidade e para commits não assinados. Além disso, a análise de conteúdo de arquivos em vez de apenas seus nomes é essencial. A lição é clara: a segurança da cadeia de suprimentos de software precisa ser vista como uma defesa multicamadas, do desenvolvedor à plataforma, considerando que até mesmo ferramentas de desenvolvimento como o VS Code podem ser vetor de ataque.