Хакеры отравили Rust-crate arrayref, чтобы разнести инфостилер
Автор: Марта Баринова По данным StepSecurity, уязвимые релизы получили номера arrayref 0.3.10, append-only-vec 0.1.9 и internment 0.8.7. Во всех трех случаях злоумышленник действовал через один и тот же аккаунт, а arrayref за 90 дней набрал более 53 млн загрузок.
Как взломали Rust-crate arrayref
Исследователи описывают схему как подмену зависимости с сохранением остального кода без изменений. В зараженный пакет добавили зависимость от proc-macro1, название которого подделывает популярный proc-macro2.
Скрипт build.rs в составе proc-macro1 запускается автоматически при компиляции. Он собирает инфраструктуру из фрагментов в base64, а затем выбирает полезную нагрузку под конкретную систему: Linux x86-64, Windows x86-64, macOS x86-64 или macOS ARM64.
StepSecurity пишет, что атакующий также выпустил несколько версий четырех собственных crates: aovine, arone, aronenao и tinymember. Их уже удалили из crates.io.
- Unix: запись в /tmp/rust-setup, запуск как отдельного процесса.
- Windows: файл %TEMP%\rust-setup.ps1, скрытый wscript.exe и VBS-лаунчер.
- Передача адреса в аргументах полезной нагрузки, вероятно, для связи с C2.
- Сбор учетных данных из Chrome, Brave и Edge через SQLite-базы.
- Закрепление через Registry Run на Windows, LaunchAgent на macOS и systemd на Linux.
- Unix: запись в /tmp/rust-setup, запуск как отдельного процесса.
- Windows: файл %TEMP%\rust-setup.ps1, скрытый wscript.exe и VBS-лаунчер.
- Передача адреса в аргументах полезной нагрузки, вероятно, для связи с C2.
- Сбор учетных данных из Chrome, Brave и Edge через SQLite-базы.
- Закрепление через Registry Run на Windows, LaunchAgent на macOS и systemd на Linux.
Хронология и последствия
Атака началась 20 августа в 01:17 UTC, когда появился GitHub-аккаунт, выдававший себя за известного разработчика Rust Дэвида Толнея. Затем в реестре crates.io создали похожую учетную запись, после чего в 01:55 опубликовали proc-macro1@1.0.106 как безвредную копию proc-macro2.
Позже вышло вредоносное обновление proc-macro1@1.0.107 в 07:11, а в 07:15 через легитимный аккаунт Дэвида Раунди опубликовали arrayref 0.3.10. Версии arrayref с 0.3.5 по 0.3.9 при этом удалили, что могло подтолкнуть установку зараженного релиза.
Об инциденте сообщили в 07:54, после чего crates.io удалил proc-macro1 в 08:03 и убрал arrayref 0.3.10 из индекса в 08:41. Во время окна примерно в 1,5 часа под угрозой могли оказаться проекты, установившие затронутые версии.
У arrayref более 245 млн загрузок за все время, а у append-only-vec и internment вместе почти 19 млн. Среди проектов, где используется arrayref, исследователи называют blake3, GUI-фреймворки egui, eframe и iced, а также компоненты для Ethereum и Solana.
StepSecurity, SafeDep и Aikido уже опубликовали технический разбор атаки и индикаторы компрометации. Wiz отдельно отмечает, что инфраструктура кампании совпадает с недавними supply-chain-атаками, связанными с КНДР, включая Mastra и axios.
Тем, кто ставил затронутые версии в окно атаки, исследователи советуют проверить Cargo.lock, поискать сброшенные файлы и посмотреть трафик к 23.254.165[.]112 на портах 9089 и 443. Если компрометация подтверждена, нужно сменить доступные учетные данные, CI-токены, signing keys и другие секреты, а среду пересобрать из безопасных бэкапов.
Хакеры скомпрометировали аккаунт сопровождающего Rust-crate arrayref и встроили в него вредоносный код, который запускался на компьютерах разработчиков во время сборки. За 23 минуты они испортили еще два пакета, append-only-vec и internment.
По данным StepSecurity, уязвимые релизы получили номера arrayref 0.3.10, append-only-vec 0.1.9 и internment 0.8.7. Во всех трех случаях злоумышленник действовал через один и тот же аккаунт, а arrayref за 90 дней набрал более 53 млн загрузок.
Как взломали Rust-crate arrayref
Исследователи описывают схему как подмену зависимости с сохранением остального кода без изменений. В зараженный пакет добавили зависимость от proc-macro1, название которого подделывает популярный proc-macro2.
Скрипт build.rs в составе proc-macro1 запускается автоматически при компиляции. Он собирает инфраструктуру из фрагментов в base64, а затем выбирает полезную нагрузку под конкретную систему: Linux x86-64, Windows x86-64, macOS x86-64 или macOS ARM64.
StepSecurity пишет, что атакующий также выпустил несколько версий четырех собственных crates: aovine, arone, aronenao и tinymember. Их уже удалили из crates.io.
Хронология и последствия
Атака началась 20 августа в 01:17 UTC, когда появился GitHub-аккаунт, выдававший себя за известного разработчика Rust Дэвида Толнея. Затем в реестре crates.io создали похожую учетную запись, после чего в 01:55 опубликовали proc-macro1@1.0.106 как безвредную копию proc-macro2.
Позже вышло вредоносное обновление proc-macro1@1.0.107 в 07:11, а в 07:15 через легитимный аккаунт Дэвида Раунди опубликовали arrayref 0.3.10. Версии arrayref с 0.3.5 по 0.3.9 при этом удалили, что могло подтолкнуть установку зараженного релиза.
Об инциденте сообщили в 07:54, после чего crates.io удалил proc-macro1 в 08:03 и убрал arrayref 0.3.10 из индекса в 08:41. Во время окна примерно в 1,5 часа под угрозой могли оказаться проекты, установившие затронутые версии.
У arrayref более 245 млн загрузок за все время, а у append-only-vec и internment вместе почти 19 млн. Среди проектов, где используется arrayref, исследователи называют blake3, GUI-фреймворки egui, eframe и iced, а также компоненты для Ethereum и Solana.
StepSecurity, SafeDep и Aikido уже опубликовали технический разбор атаки и индикаторы компрометации. Wiz отдельно отмечает, что инфраструктура кампании совпадает с недавними supply-chain-атаками, связанными с КНДР, включая Mastra и axios.
Тем, кто ставил затронутые версии в окно атаки, исследователи советуют проверить Cargo.lock, поискать сброшенные файлы и посмотреть трафик к 23.254.165[.]112 на портах 9089 и 443. Если компрометация подтверждена, нужно сменить доступные учетные данные, CI-токены, signing keys и другие секреты, а среду пересобрать из безопасных бэкапов.
