SlowMist 披露 PolinRider 样本：借以太坊交易动态解析 C2

Techub News 消息，SlowMist 在 X 平台发文称，其安全团队在 Laravel Nova 扩展包 visanduma/nova-two-factor 的一个开发分支中发现了 PolinRider 恶意软件样本。该扩展包累计下载量已超过 70 万次。

恶意代码藏在构建文件中

SlowMist 表示，这段恶意代码隐藏在 tailwind.config.js 文件内，会在前端构建时执行。

通过以太坊交易动态管理 C2 地址

与直接写死命令与控制（C2）服务器地址不同，这个加载器会通过查询以太坊交易，动态解析投递服务器的 IP。按 SlowMist 的说法，这种方式让攻击者无需重新发布软件包，也可以切换服务器。

最终载荷与受影响数据

团队称，最终有效载荷是一个跨平台的凭证窃取程序，目标包括浏览器账户、Cookie、凭证、加密货币钱包数据、密码管理器，以及 Git、GitHub CLI 等开发者凭证。

SlowMist 给出的建议

SlowMist 建议正在使用受影响版本的用户检查相关文件，审查构建时的网络活动，并轮换已经暴露的凭证和钱包密钥。