Sonatype发现12个npm包含PolinRider加载器

发生了什么

据Sonatype Research Labs于2026年11月4日报告，研究人员在10个被劫持的npm包中识别出12个包含恶意运行时加载器的版本。该加载器通过查询以太坊交易解析C2服务器IP，并动态执行XOR解码后的JavaScript代码。这些加载器使用与PolinRider活动相关的同一硬编码以太坊钱包地址作为死信解析器。受影响包涵盖Redux集成、健康API及工具类等功能，恶意代码在包加载或应用启动时运行，无需安装脚本触发。