Das Rust-Sicherheitsteam hat einen Supply-Chain-Angriff auf die populäre Crate arrayref gemeldet. Unbekannte schleusten über eine getarnte Abhängigkeit Schadcode ein – die manipulierte Version stand 86 Minuten online.
Wie der Angriff ablief
Am 20. August legten die Angreifer GitHub- und crates.io-Konten an, die den bekannten Rust-Entwickler David Tolnay imitierten. Sie veröffentlichten arrayref neu und fügten eine Abhängigkeit auf „proc-macro1″ hinzu – einen Typosquat der echten Crate proc-macro2. Ein Build-Skript lud daraufhin eine Schad-Payload nach; laut Berichten ein Infostealer, der Entwickler-Zugangsdaten abgreift. Der übrige Quellcode blieb unverändert, um nicht aufzufallen.
Ausmaß und Reaktion
arrayref zählt über 53 Millionen Downloads in 90 Tagen und steckt in Krypto-, Grafik- und Blockchain-Werkzeugen. Innerhalb von nur 23 Minuten vergifteten die Angreifer auch die Crates append-only-vec und internment. Die manipulierte Version [email protected] war 86 Minuten online (07:15 bis 08:41 UTC), dann wurde sie gelöscht. Das Rust-Team hält den arrayref-Autor nicht für den Täter – vermutlich wurden dessen Zugangsdaten oder Rechner kompromittiert.
Quellen: Rust Blog, BleepingComputer.
