Hackers poison arrayref Rust crate to push infostealer malware

ハッカーは、広く利用されているRustクレート「arrayref」の管理者のアカウントを乗っ取り、コンパイル中に開発者のシステム上で実行されるマルウェアを仕込みました。

この23分間の間に、攻撃者は同じサプライチェーン攻撃の一環として、他の2つのcrateである「append-only-vec」と「internment」にも悪意のあるコードを混入させました。

arrayrefクレートは、過去90日間で5,300万回以上ダウンロードされている人気のRustライブラリであり、暗号、グラフィックス、ブロックチェーンツールなどで利用されています。

image

アプリケーションセキュリティ企業StepSecurityの報告によると、悪意のあるRustクレートのリリースバージョンは、arrayref 0.3.10、append-only-vec 0.1.9、internment 0.8.7であり、これらはすべて同じアカウントによってメンテナンスされていた。

ハッカーは、人気のある「proc-macro2」クレートを装ったタイポスクワットである「proc-macro1」というパッケージへの依存関係を注入した一方で、アップストリームのソースコードの残りの部分は完全に変更せずに残していた。

研究者によると、proc-macro1 内の「build.rs」というスクリプトがコンパイル中に自動的に実行され、base64 エンコードされた断片からインフラストラクチャを再構築し、ホスト OS（Linux x86-64、Windows x86-64、 macOS x86-64、macOS ARM64）に適合するペイロードを選択します。

StepSecurityによると、攻撃者はさらに4つのクレート（aovine、arone、aronenao、tinymember）の複数のバージョンを自ら公開しており、これらはcrates.ioから削除されている。

Unix システムでは、このマルウェアは /tmp/rust-setup に書き込み、実行可能に設定し、分離プロセスとして起動します。

Windowsでは、%TEMP%rust-setup.ps1を作成し、隠しファイルとして配置されたwscript.exeとVBSランチャーを使用して、プロセスを常時実行状態に保ちます。

ペイロードは引数としてアドレスを受け取りますが、これはコマンド＆コントロール（C&C）アドレスであると考えられています。

クラウドセキュリティ企業 Wiz の分析によると、第 2 段階の機能には、ホスト情報や認証情報の窃取が含まれる。

研究者らによると、このマルウェアは SQLite のログインデータベースを照会することで、Google Chrome、Brave、Edge 各ブラウザから認証情報を収集するという。

永続化は、Windows ではレジストリの「Run」キー、macOS では「LaunchAgent」、Linux では「systemd」を介して確立される。

タイムラインと影響

arrayref 単体の生涯ダウンロード数は 2 億 4500 万回を超え、append-only-vec と internment の合計インストール数は 1900 万回近くに達するため、このサプライチェーン攻撃が及ぼす潜在的な影響は甚大である。

arrayref を使用しているプロジェクトには、blake3、egui、eframe、iced などの Rust GUI フレームワーク、および Ethereum や Solana で使用されているコンポーネントが含まれます。

攻撃は8月20日01:17（UTC）に始まり、著名なRust開発者であるDavid Tolnayを装ったGitHubアカウントが作成され、続いてcrates.ioレジストリにも同様のアカウントが作成された。

01:55に、攻撃者はproc-macro2の無害なコピーであるproc-macro1@1.0.106を公開し、続いて7:11にバージョン1.0.107までの悪意のある更新を公開しました。

07:15には、正規のdroundy（David Roundy）アカウントを通じてarrayref 0.3.10が公開された一方、バージョン0.3.5から0.3.9までは削除されました。これは、悪意のあるリリースのインストールを強制するためだった可能性があります。

このインシデントは07:54に報告された。Crates.ioは08:03にproc-macro1を削除し、08:41にはarrayref 0.3.10をインデックスから削除した。

サイバーセキュリティ企業のStepSecurity、SafeDep、Aikidoは、それぞれこのサプライチェーン攻撃に関する技術的分析を公表し、侵害の兆候（IoC）を共有した。

Wizの研究者は、「このキャンペーンのインフラは、Mastraやaxiosを含む、最近の北朝鮮（DPRK）によるサプライチェーン攻撃と重複している」と指摘している。

約1.5時間にわたる脆弱性が公開されていた期間中にいずれかをインストールした開発者は、システムが侵害されたと想定すべきです。

推奨される確認作業には、Cargo.lockファイルの検索、ドロップされたファイルの確認、およびポート9089および443における23.254.165[.]112へのトラフィックの確認が含まれます。

侵害が確認された場合は、アクセス可能なすべての認証情報、CIトークン、署名鍵、およびその他の秘密情報を更新し、安全なバックアップから環境を再構築することを推奨します。

影響を受けていないプロジェクトでは、メンテナーの状況が明確になり、問題が解決されるまで、影響を受ける依存関係の安全が確認されているバージョンを固定しておく必要があります。