حزمة Rust خبيثة باسم arrayref تشغّل حمولة وقت البناء

في 20 أغسطس 2026 ظهرت على crates.io نسخة مخترقة من حزمة Rust الشهيرة arrayref. أضافت النسخة 0.3.10 اعتماداً على حزمة منتحلة الاسم (typosquat) تُدعى proc-macro1، ويقوم سكربت البناء الخاص بها بتنزيل ملف ثنائي بعيد وتشغيله أثناء تصريف المشروع. وبما أن الشيفرة تعمل وقت البناء، يكفي تصريف مشروع جلب النسخ السيئة لتفعيلها. وقد أزالت فرقة crates.io النسخ الخبيثة.

الحزم المعنية

يتولى droundy صيانة الحزمتين الحقيقيتين arrayref وappend-only-vec، ويبدو أن حسابه قد اخترق: فمستودعاته على GitHub لم تعد متاحة. أما proc-macro1 فقد نشرها حساب باسم dtolney يشبه كثيراً اسم dtolnay الحقيقي لدايفيد تولناي؛ وتُدرج البيانات الوصفية اسمه مؤلفاً وتشير إلى مسار مستودع يعيد 404.

النسخ الخبيثة هي arrayref 0.3.10 وinternment 0.8.7 وappend-only-vec 0.1.9، إضافة إلى proc-macro1 وproc-macro-en وaovine وarone وaronenao وtinymember. وproc-macro1 ليس proc-macro2 الحقيقي: فمجلد src لديه نسخة من proc-macro2، لذلك استمرت عمليات البناء في العمل ولم يثر الاستبدال الانتباه.

ماذا يفعل سكربت البناء

تقع الحمولة الخبيثة في سكربت البناء الخاص بـproc-macro1 1.0.107. عنوان الخادم مقسّم إلى شذرات base64 يعاد تركيبها وقت البناء؛ وبعد فك الترميز يظهر المضيف hxxps://23.254.165.112:9089/ وعنوان التحكم 23.254.165.112:443. ينزّل السكربت ملفاً ثنائياً بحسب المعمارية عبر TLS دون التحقق من الشهادات، ثم يفصله عن البناء: على يونكس يشغّل /tmp/rust-setup، وعلى ويندوز يكتب سكربت PowerShell ومشغّلاً بلغة VBScript في %TEMP% ويشغّلهما مخفيّين.

كيف انتشرت

سحب مالك الحساب النسخ الأقدم من arrayref بين 0.3.5 و0.3.9. ويجعل السحب Cargo يطبع تحذيراً يدفع المطورين نحو النسخة الوحيدة غير المسحوبة، أي 0.3.10 الخبيثة. ويقول مَن قدّم التقرير إلى RustSec إن الأمر جرى معه بهذه الطريقة تماماً.

تُستخدم arrayref على نطاق واسع كاعتماد غير مباشر وتقع عميقاً في مخططات tiny-skia وsctk-adwaita وwinit، ما يضعها تحت معظم مشاريع الواجهات المبنية على egui وeframe وiced. وللحزمة نحو 245 مليون تنزيل إجمالي، منها نحو 152 مليوناً للنسخة النظيفة 0.3.9. ويسرد تقرير SafeDep قيم SHA256 للملفات المحذوفة ومؤشرات الشبكة.