Zərərli Rust paketi arrayref yığım zamanı yük işə salır

2026-cı il avqustun 20-də crates.io-da məşhur Rust paketi arrayref-in ələ keçirilmiş buraxılışı meydana çıxdı. 0.3.10 versiyası proc-macro1 adlı oxşar adlı (typosquat) paketə asılılıq əlavə etdi; həmin paketin yığım skripti layihə kompilyasiya olunarkən uzaqdan ikili faylı endirib işə salır. Kod yığım anında çalışdığı üçün pis versiyaları qoşan layihəni kompilyasiya etmək kifayətdir. crates.io komandası zərərli versiyaları artıq silib.

Hansı paketlər təsirlənib

Əsl arrayref və append-only-vec paketlərini droundy idarə edir; onun hesabı ələ keçirilib və GitHub repozitoriyaları artıq mövcud deyil. proc-macro1-i isə David Tolnay-ın əsl dtolnay adına çox bənzəyən dtolney hesabı dərc edib; metadatanlarda müəllif kimi David Tolnay göstərilib, repository sahəsi isə 404 qaytaran ünvana işarə edir.

Zərərli versiyalar: arrayref 0.3.10, internment 0.8.7, append-only-vec 0.1.9, həmçinin proc-macro1, proc-macro-en, aovine, arone, aronenao və tinymember. proc-macro1 əsl proc-macro2 deyil: onun src qovluğu proc-macro2-nin kopyasıdır, buna görə yığımlar işləməyə davam edib və dəyişdirmə çox nəzərə çarpmayıb.

Yığım skripti nə edir

Zərərli yük proc-macro1 1.0.107-nin yığım skriptindədir. Server ünvanı base64 hissələrinə bölünüb və yığım zamanı yenidən qurulur; açıldıqda hxxps://23.254.165.112:9089/ hostu və 23.254.165.112:443 idarəetmə ünvanı alınır. Skript sertifikat yoxlaması olmadan TLS vasitəsilə arxitekturaya uyğun ikili faylı endirir və onu yığımdan qoparır: Unix-də /tmp/rust-setup işə salınır, Windows-da %TEMP% altına yazılan PowerShell skripti VBScript başladıcısı ilə gizli başladılır.

Necə yayıldı

Hesab sahibi arrayref-in köhnə 0.3.5–0.3.9 buraxılışlarını yank edib. Bundan sonra Cargo xəbərdarlıq göstərir və tərtibatçıları yeganə yank olunmamış versiyaya — zərərli 0.3.10-a — yönəldir. RustSec bildirişini yazan şəxs hadisənin məhz belə baş verdiyini qeyd edir.

arrayref geniş yayılmış tranzitiv asılılıqdır və tiny-skia, sctk-adwaita və winit qraflarının dərinliyindədir, bu da onu egui, eframe və iced üzərində qurulan GUI layihələrinin altına qoyur. Paketin ümumi endirmə sayı təxminən 245 milyondur, təmiz 0.3.9 isə bunun təxminən 152 milyonunu təşkil edir. SafeDep hesabatında silinmiş faylların SHA256 dəyərləri və şəbəkə göstəriciləri verilib.