Un attacco alla supply chain ha compromesso popolari librerie Rust su crates.io, infettando le workstation degli sviluppatori durante la fase di compilazione.
Il mondo dello sviluppo software è stato scosso da una sofisticata operazione di supply chain attack che ha preso di mira l'ecosistema del linguaggio Rust. Il 20 agosto, un attore malevolo è riuscito a ottenere l'accesso all'account di un manutentore di fiducia, alterando tre librerie (crate) ampiamente utilizzate: arrayref, internment e append-only-vec. Queste librerie, ospitate sul registro ufficiale crates.io, sono componenti fondamentali per migliaia di progetti software.
La tecnica utilizzata dagli aggressori è stata particolarmente insidiosa. Invece di modificare direttamente il codice sorgente delle librerie, hanno manipolato i manifesti dei pacchetti per includere una dipendenza esterna chiamata proc-macro1. Si tratta di un classico esempio di typosquatting, progettato per sfruttare il gestore di pacchetti cargo. Poiché il processo di compilazione in Rust prevede l'esecuzione di script di build, il semplice tentativo di compilare un progetto che includeva queste librerie infette era sufficiente per attivare il payload malevolo, indipendentemente dal fatto che il software venisse effettivamente distribuito o eseguito.
La portata dell'attacco è stata definita dagli esperti di Wiz come estremamente preoccupante. La libreria arrayref, da sola, vanta oltre 245 milioni di download ed è presente in circa il 75% degli ambienti cloud che utilizzano applicazioni scritte in Rust. Questo significa che una vasta porzione dell'infrastruttura cloud globale è stata potenzialmente esposta a un rischio di compromissione silenziosa.
Una volta eseguito, il malware operava come un infostealer, puntando a sottrarre credenziali salvate nei browser, chiavi private di portafogli di criptovalute e segreti legati agli ambienti di sviluppo (come chiavi API e token di accesso). Il pericolo maggiore risiede nel fatto che l'infezione avveniva durante la fase di build, rendendo le workstation degli sviluppatori e le pipeline di Continuous Integration (CI) il vettore primario di compromissione.
Le indagini condotte sulla telemetria e sull'infrastruttura di Command and Control (C2) hanno rivelato collegamenti inequivocabili con attori legati alla Corea del Nord. Il gruppo, monitorato da Microsoft e altre agenzie di intelligence sotto il nome di Sapphire Sleet, ha mostrato pattern di comunicazione e configurazioni server che ricalcano precedenti campagne di attacco alla supply chain, tra cui quelle che hanno colpito il framework Mastra e la libreria Axios nel mondo npm.
Il team di sicurezza di Rust ha risposto prontamente, revocando le credenziali dell'account compromesso e rimuovendo le versioni malevole dei pacchetti da crates.io. Tuttavia, la natura dell'attacco impone una vigilanza estrema. Poiché il codice malevolo è stato eseguito localmente durante la compilazione, le macchine coinvolte devono essere considerate compromesse.
Gli esperti raccomandano vivamente di:
Cargo.lock per identificare la presenza delle versioni infette delle librerie citate.Questo incidente sottolinea ancora una volta la fragilità intrinseca delle moderne catene di approvvigionamento del software, dove la fiducia riposta nei manutentori open source può diventare il punto di rottura per la sicurezza di intere infrastrutture aziendali.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.