PolinRider ha reaparecido en npm con una nueva vía para operar dentro de entornos de Node.js: el malware utiliza transacciones de Ethereum para descargar y ejecutar código de forma remota. Sonatype ha identificado 12 entidades maliciosas relacionadas con esta actividad.
Ethereum como canal para el código remoto
El hallazgo sitúa a la red de Ethereum en el centro de la operativa de PolinRider. Según la detección de Sonatype, las transacciones de la cadena de bloques se emplean como parte del mecanismo que permite al malware recibir instrucciones o contenido capaz de ejecutarse posteriormente.
El objetivo son los entornos de Node.js, una infraestructura habitual en aplicaciones y servicios desarrollados con JavaScript. Una vez dentro, las entidades maliciosas pueden descargar y ejecutar código remoto, lo que amplía las capacidades de la amenaza más allá de la distribución inicial del paquete comprometido.
Una reaparición en el ecosistema npm
La actividad supone el regreso de PolinRider al repositorio npm, utilizado para compartir paquetes destinados a proyectos de Node.js. La identificación de 12 entidades maliciosas apunta a una campaña con varios componentes o actores vinculados a este esquema, aunque la información disponible no detalla el alcance de las infecciones ni el número de paquetes afectados.
El caso muestra una utilización poco habitual de la infraestructura blockchain: no como activo financiero, sino como canal dentro de una cadena de infección. Sonatype es la entidad que ha detectado esta actividad y atribuye a PolinRider la capacidad de descargar y ejecutar código remoto mediante transacciones de Ethereum.
