Mã độc được chèn vào các Rust crate phổ biến để đánh cắp thông tin nhà phát triển
"Malicious updates were published to several Rust crates, including a typosquatted dependency and poisoned releases of arrayref, internment, and append-only-vec, to deliver infostealer malware during normal Cargo builds. The payload targeted browser credentials and cryptocurrency wallet data, established persistence, and was removed within roughly 86 to 107 minutes; developers were advised to inspect Cargo lockfiles and local caches for affected packages."
Ảnh hưởng trực tiếp đến máy phát triển, có thể dẫn tới lộ thông tin đăng nhập trình duyệt và dữ liệu ví tiền điện tử; đây là rủi ro chuỗi cung ứng phần mềm đáng chú ý.
Có thể gây gián đoạn quy trình build và phát sinh chi phí rà soát, cô lập máy trạm; tổ chức cần ưu tiên kiểm tra phụ thuộc và xác minh cache nội bộ.
Nhóm phản ứng an ninh của Rust đã cảnh báo về một cuộc tấn công chuỗi cung ứng nhắm vào nhiều Rust crates phổ biến, trong đó có arrayref, internment và append-only-vec. Kẻ tấn công đã phát hành các bản cập nhật độc hại, đồng thời lợi dụng một phụ thuộc typosquat là proc-macro1 để tải mã độc trong quá trình Cargo build thông thường.
Theo phân tích, payload có thể nhận diện hệ điều hành và kiến trúc CPU, sau đó tải biến thể phù hợp cho Linux, Windows, Intel Mac và Apple Silicon Mac. Mã độc được thiết kế để thu thập dữ liệu từ trình duyệt dựa trên Chromium như Google Chrome, Brave và Microsoft Edge, đồng thời nhắm tới dữ liệu tiện ích mở rộng liên quan đến ví tiền điện tử. Ngoài ra, nó còn có khả năng thiết lập persistence và nhận lệnh từ máy chủ điều khiển.
Các bản phát hành độc hại chỉ tồn tại trong thời gian ngắn, từ 86 đến 107 phút, nhưng vẫn có thể ảnh hưởng tới môi trường phát triển. Rust đã gỡ bỏ một số gói liên quan và khuyến nghị quản trị viên kiểm tra Cargo lockfiles, local registry caches và các gói đã tải về để xác định dấu vết nhiễm.